CVE-2026-52887 in NocoBase
요약
\~에 의해 VulDB • 2026. 07. 15.
NocoBase는 비즈니스 애플리케이션 및 엔터프라이즈 솔루션 구축을 위한 AI 기반 노코드/로우코드 플랫폼입니다. 버전 2.0.61 이전의 NocoBase @nocobase/plugin-notification-in-app-message에서는 GET /api/myInAppChannels:list에서 filter[latestMsgReceiveTimestamp][$lt] 값이 이스케이핑이나 파라미터 바인딩 없이 Sequelize.literal() 템플릿 문자열에 삽입되었습니다. 이로 인해 가입된 인증 사용자가 중첩된 PostgreSQL 문을 실행하고 COPY ... TO PROGRAM을 통해 명령어를 실행할 수 있는 취약점이 존재했습니다. 이 취약점은 2.0.61에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.