CVE-2026-24768 in nocodb
要約
〜によって VulDB • 2026年05月27日
NocoDBは、スプレッドシートとしてデータベースを構築するためのソフトウェアです。バージョン0.301.0より前では、`continueAfterSignIn`パラメータの検証が欠落しているため、NocoDBのログインフローに検証されないリダイレクト（オープンリダイレクト）の脆弱性が存在します。認証中に、NocoDBはユーザー制御のリダイレクト値を処理し、宛先のオリジン、ドメイン、またはプロトコルに対して制限を強制せずに、条件付きでクライアントサイドナビゲーションを実行します。これにより、攻撃者はログイン後に認証済みユーザーを任意の外部ウェブサイトへリダイレクトすることができます。この脆弱性は、正当なNocoDBのログインフローに対するユーザーの信頼を利用したフィッシング攻撃を可能にします。資格情報を直接露出させたり、認証を回避したりするものではありませんが、ソーシャルエンジニアリングを通じた資格情報窃盗の可能性を高めます。この問題は、任意のコード実行や権限昇格を許可するものではありませんが、認証の整合性を損なうものです。バージョン0.301.0でこの問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.