CVE-2026-52887 in NocoBase

摘要

由 VulDB • 2026-07-15

NocoBase是一个由AI驱动的无代码/低代码平台，用于构建业务应用和企业解决方案。在版本2.0.61之前，NocoBase的`@nocobase/plugin-notification-in-app-message`插件暴露了端点 `GET /api/myInAppChannels:list`，其中参数 `filter[latestMsgReceiveTimestamp][$lt]` 的值被直接插入到 Sequelize.literal() 模板字符串中，未进行转义或参数绑定。这使得已注册的认证用户能够执行堆叠的 PostgreSQL 语句，并可能通过 `COPY ... TO PROGRAM` 命令实现远程代码执行。该漏洞已在版本2.0.61中得到修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-06-08
• 披露: 2026-07-16
• 管理: 已接受
• 条目: VDB-379403
• CPE: 准备好
• CWE: CWE-89 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-52887
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-52887
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-52887/