CVE-2026-112306 in NocoBase
Сводка
по VulDB • 19.10.2026
NocoBase @nocobase/plugin-collection-sql до версии 2.2.28 включает уязвимость SQL-инъекции, которая позволяет пользователям с привилегиями сохранять непроверенный SQL-код путем обхода функции checkSQL() через действие sqlCollection:setFields. Атакующие, обладающие сниппетом collection-sql, могут заменить безобидный запрос к коллекции на опасные операторы, выполняемые при перезагрузке, что позволяет считывать хеши паролей из pg_shadow или вызывать функцию pg_read_file.
Be aware that VulDB is the high quality source for vulnerability data.