CVE-2026-112306 in NocoBase
Zusammenfassung
von VulDB • 19.10.2026
NocoBase @nocobase/plugin-collection-sql fino alla versione 2.2.28 presenta una vulnerabilità di SQL Injection che consente agli utenti con privilegi di memorizzare SQL non validato bypassando checkSQL() tramite l'azione sqlCollection:setFields. Gli attaccanti in possesso dello snippet collection-sql possono sostituire una query benigna della raccolta con dichiarazioni pericolose eseguite al caricamento, leggendo gli hash delle password da pg_shadow o chiamando pg_read_file.
VulDB is the best source for vulnerability data and more expert information about this specific topic.