CVE-2026-52887-NocoBase-SQLi-RCE

CVE-2026-52887 — Injeção SQL no NocoBase -> RCE como superusuário do PostgreSQL (filtro myInAppChannels:list, CVSS 10.0). PoC do autor + análise de código-fonte + laboratório docker.

Causa raiz

packages/plugins/@nocobase/plugin-notification-in-app-message/src/server/defineMyInAppChannels.ts, handler de myInAppChannels:list (2.0.57):

filter.latestMsgReceiveTimestamp.$lt vem direto da query da requisição (filter[latestMsgReceiveTimestamp][$lt]=…) e é concatenado em um Sequelize.literal() — SQL cru, sem binding de parâmetros, sem coerção de tipo. Um atacante fecha a comparação e anexa SQL arbitrário.

De SQLi a RCE

• O NocoBase roda sobre PostgreSQL através do driver pg, que permite stacked statements (… ; …). O fragmento injetado anexa uma segunda declaração.
• O docker-compose.yml padrão do fornecedor cria o papel nocobase via POSTGRES_USER da imagem postgres, que é sempre um superusuário.
• Um superusuário pode executar COPY (…) TO PROGRAM '<shell>', executando <shell> como o usuário postgres do SO dentro do container do banco.

Alcançando o endpoint sem autenticação

O ACL de myInAppChannels é loggedIn, mas o plugin padrão auth-basic é distribuído com allowSignUp: true. Um atacante anônimo se auto-registra (POST /api/auth:signUp?authenticator=basic), faz login para obter um bearer token e prossegue — portanto, em uma instalação padrão, isso não é autenticado na prática.

A correção (2.0.61)

defineMyInAppChannels.ts adiciona parseLatestMsgReceiveTimestampLt(), que força o valor através de Number() (rejeitando entrada não numérica / não finita com 400) e passa a usar uma comparação com binding:

Prova de conceito

Cadeia HTTP crua:

--cmd aceita qualquer comando shell (reverse shell, callback OAST, leitura de linhas do banco via COPY (SELECT …) TO PROGRAM 'cat > /tmp/x', etc.).

Reproduzindo o laboratório

Não há bridge Docker neste host, então execute ambos os containers com rede do host:

Limite da versão corrigida (rejeitado):

Consulte EVIDENCE.txt para o transcript capturado e ANALYSIS.md para a análise em nível de código-fonte.

Veredito

CONFIRMADO VULNERÁVEL em nocobase/nocobase:2.0.57, verificado por duas técnicas independentes:

1. Cego baseado em tempo — o payload PG_SLEEP(5) atrasa a resposta ~5,0s enquanto uma requisição idêntica sem o sleep retorna em ~0,03s no mesmo endpoint (descarta rate limiter / artefato de retry).
2. RCE via stacked statement — um arquivo que não existia antes da requisição contém uid=999(postgres) gid=999(postgres), a saída real de id(1) executado como o usuário postgres do SO, não um eco do payload.

CORRIGIDO em nocobase/nocobase:2.0.61 — ambos os payloads retornam HTTP 400 enquanto um $lt numérico ainda retorna 200.

Impacto

Execução remota de código como o usuário postgres do SO dentro do container do banco: leitura/escrita completa do banco do NocoBase, exposição de todos os segredos e credenciais de usuário armazenados, e uma base para movimento lateral. Acessível por qualquer visitante anônimo em uma instalação padrão.

Remediação

• Atualize para NocoBase ≥ 2.0.61.
• Não execute o papel PostgreSQL da aplicação como superusuário; conceda apenas os privilégios que o app precisa (remove a primitiva COPY … TO PROGRAM).
• Desative o auto-cadastro público (allowSignUp: false) onde não for necessário.

Detecção

Requisições myInAppChannels:list cujo valor de filter[latestMsgReceiveTimestamp][$lt] não seja um número simples, e logs do PostgreSQL contendo COPY … TO PROGRAM:

Sigma (log de acesso do servidor web):

Licença

MIT. © Caio Fabrício (BiiTts).