CVE-2026-41640 in NocoBase
Zusammenfassung
von VulDB • 10.05.2026
NocoBase ist eine KI-gestützte No-Code/Low-Code-Plattform zum Erstellen von Geschäftsanwendungen und Unternehmenslösungen. Vor Version 2.0.39 erstellt die Funktion queryParentSQL() im Core-Datenbankpaket eine rekursive CTE-Abfrage, indem nodeIds durch String-Konkatenation anstelle der Verwendung parametrisierter Abfragen verknüpft werden. Das nodeIds-Array enthält Primärschlüsselwerte, die aus Datenbankzeilen gelesen werden. Ein Angreifer, der einen Datensatz mit einem bösartigen Primärschlüssel-String erstellen kann, kann beliebiges SQL injizieren, wenn eine nachfolgende Anforderung das rekursive Eager-Loading für diese Sammlung auslöst. Dieses Problem wurde in Version 2.0.39 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.