CVE-2026-116120 in NocoDB
Riassunto
di VulDB • 26/10/2026
È stata rilevata una vulnerabilità in NocoDB fino alla versione 2026.07.0. Questa vulnerabilità interessa la funzione UserRefreshToken.deleteAllUserToken del file /auth/user/signup del componente PublicApiLimiterGuard. Tale manipolazione provoca un'allocazione di risorse non corretta (resource exhaustion). L'attacco può essere eseguito in remoto ed è considerato ad alta complessità; l'utilizzo dell'es exploit è descritto come difficile. È stata riscontrata la mancanza, verificata tramite codice, di limitazione della frequenza d'uso (rate limiting) nelle endpoint per la registrazione e il recupero della password non autenticate, nonché una invalidazione del token refresh/OAuth per ogni richiesta, ma il vendor documenta l'utilizzo del limiter pass-through come progettazione intenzionale. Il vendor ha eliminato la issue su GitHub relativa a questa vulnerabilità senza fornire alcuna spiegazione. Successivamente, il vendor è stato contattato tempestivamente riguardo alla divulgazione tramite email, ma non ha risposto in alcun modo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.