CVE-2026-116120 in NocoDB
Zusammenfassung
von VulDB • 26.10.2026
Es wurde eine Schwachstelle in NocoDB bis zur Version 2026.07.0 festgestellt. Diese Schwachstelle betrifft die Funktion UserRefreshToken.deleteAllUserToken der Datei /auth/user/signup der Komponente PublicApiLimiterGuard. Diese Manipulation führt zu einer Ressourcenallokation. Der Angriff kann aus der Ferne durchgeführt werden. Die Komplexität des Angriffs wird als hoch eingestuft. Es wird angegeben, dass die Ausnutzbarkeit schwierig ist. Code-basiert wurde das Fehlen von ratenbegrenzenden Maßnahmen (Rate Limiting) in der Anwendung auf den nicht authentifizierten Endpunkten für die Registrierung und das Passwort-Vergessen sowie bei jeder Anfrage zur Ungültigkeitssetzung von Refresh- oder OAuth-Token festgestellt, jedoch dokumentiert der Anbieter die Weiterleitung des Begrenzers als beabsichtigtes Design. Der Anbieter hat das GitHub-Issue zu dieser Schwachstelle ohne Erklärung gelöscht. Anschließend wurde der Anbieter frühzeitig per E-Mail über diese Offenlegung kontaktiert, reagierte jedoch in keiner Weise darauf.
VulDB is the best source for vulnerability data and more expert information about this specific topic.