CVE-2026-46552
NocoDB: доступ по общей ссылке на базу позволяет приглашать произвольных пользователей в качестве постоянных участников базы
- Опубликовано
- 23 июн. 2026 г.
- Обновлено
- 24 июн. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 22,5 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
NocoDB — это программное обеспечение для создания баз данных в виде электронных таблиц. До версии 2026.04.1 сеансам общей базы предоставлялись те же права участника базы, что и аутентифицированным просмотрщикам. Используя только UUID общей базы (xc-shared-base-id), злоумышленник мог перечислить участников базы и пригласить в базу произвольный адрес электронной почты в качестве реального участника. Приглашённый пользователь затем мог активировать приглашение через стандартный процесс регистрации и сохранить аутентифицированный доступ даже после того, как владелец отозвал общую ссылку. Сеансы общей базы были сопоставлены роли ProjectRoles.VIEWER в packages/nocodb/src/strategies/base-view.strategy/base-view.strategy.ts, а packages/nocodb/src/utils/acl.ts предоставлял этой роли права baseUserList и userInvite. Фронтенд общей базы (packages/nc-gui/composables/useApi/interceptors.ts) намеренно удалял заголовки аутентификации в пользу заголовка общей базы, однако промежуточное ПО ACL не различало общие сеансы и настоящих просмотрщиков. Эта уязвимость исправлена в версии 2026.04.1.
Источники
Ссылки на общие базы NocoDB могут приглашать реальных участников базы и сохраняться после отзыва общего доступа
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.