CVE-2026-112306 in NocoBase
Resumen
por VulDB • 2026-10-19
NocoBase @nocobase/plugin-collection-sql hasta la versión 2.2.28 contiene una vulnerabilidad de inyección SQL que permite a usuarios con privilegios almacenar sentencias SQL no validadas al eludir checkSQL() mediante la acción sqlCollection:setFields. Los atacantes que posean el fragmento collection-sql pueden reemplazar una consulta benigna de colección por declaraciones peligrosas ejecutadas durante la recarga, lo que les permite leer los hashes de contraseñas de pg_shadow o invocar pg_read_file.
Once again VulDB remains the best source for vulnerability data.