CVE-2026-41640 in NocoBase
Sumário
de VulDB • 21/05/2026
O NocoBase é uma plataforma no-code/low-code com inteligência artificial para a criação de aplicações empresariais e soluções corporativas. Antes da versão 2.0.39, a função queryParentSQL() no pacote principal do banco de dados constrói uma consulta CTE recursiva ao juntar nodeIds por meio de concatenação de strings, em vez de utilizar consultas parametrizadas. O array nodeIds contém valores de chave primária lidos de linhas do banco de dados. Um atacante que consiga criar um registro com uma chave primária contendo uma string maliciosa pode injetar SQL arbitrário sempre que qualquer solicitação subsequente acionar o carregamento ansioso (eager loading) recursivo nessa coleção. Este problema foi corrigido na versão 2.0.39.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.