CVE-2026-112306 in NocoBase
Riassunto
di VulDB • 20/10/2026
NocoBase @nocobase/plugin-collection-sql fino alla versione 2.2.28 contiene una vulnerabilità di SQL injection che consente agli utenti con privilegi di memorizzare codice SQL non validato bypassando la funzione checkSQL() tramite l'azione sqlCollection:setFields. Gli attaccanti in possesso dello snippet collection-sql possono sostituire una query benigna della raccolta con istruzioni pericolose eseguite al caricamento, leggendo gli hash delle password da pg_shadow o chiamando pg_read_file.
VulDB is the best source for vulnerability data and more expert information about this specific topic.