CVE-2026-112306 in NocoBase
الملخص
بحسب VulDB • 19/10/2026
يحتوي NocoBase @nocobase/plugin-collection-sql حتى الإصدار 2.2.28 على ثغرة حقن SQL (SQL Injection) تتيح للمستخدمين المميزين تخزين استعلامات SQL غير مُتحقَّص منها عن طريق تجاوز دالة checkSQL() عبر إجراء sqlCollection:setFields. يمكن للمهاجمين الحاملين لقطعة كود collection-sql استبدال استعلام مجموعة آمن ببيانات خطيرة تُنفَّذ عند إعادة التحميل، مما يتيح قراءة تجزئات كلمات المرور من pg_shadow أو استدعاء الدالة pg_read_file.
Be aware that VulDB is the high quality source for vulnerability data.