CVE-2026-52887: NocoBase: /api/myInAppChannels:list フィルタのSQLインジェクションによるPGスーパーユーザーRCE | Kitploit

CVE-2026-52887

重大公開済み

NocoBase: /api/myInAppChannels:list フィルタのSQLインジェクションによるPGスーパーユーザーRCE

公開済み: 2026/07/15
更新済み: 2026/07/20
CNA の割り当て: GitHub_M
観察された証拠: 2026/08/10

プライマリ CVSS

10.0/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

EPSS 確率推定

0.9%

低 · 今後 30 日間

パーセンタイル: 57.4%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載のノーコード/ローコードプラットフォームです。2.0.61より前のバージョンでは、NocoBaseの@nocobase/plugin-notification-in-app-messageがGET /api/myInAppChannels:listを公開しており、filter[latestMsgReceiveTimestamp][$lt]の値がエスケープやパラメータバインドなしでSequelize.literal()テンプレート文字列に挿入されていたため、サインアップ済みの認証済みユーザーがPostgreSQLのステートメントを連結して実行し、COPY ... TO PROGRAMを使用してコマンドを実行できる可能性がありました。この脆弱性は2.0.61で修正されています。

ソース

CVE-2026-52887-NocoBase-SQLi-RCEエクスプロイト
CVE-2026-52887 — NocoBase SQLインジェクション -> PostgreSQLスーパーユーザーRCE（myInAppChannels:listフィルタ、CVSS 10.0）。作者PoC + ソース解析 + dockerラボ。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。