CVE-2026-34156
Təsvir
NocoBase biznes tətbiqləri və müəssisə həllərinin qurulması üçün süni intellekt əsaslı no-code/low-code platformasıdır. Versiya 2.0.28-dən əvvəl NocoBase-in Workflow Script Node komponenti istifadəçi tərəfindən təmin edilən JavaScript kodunu fərdiləşdirilmiş require icazə siyahısı (WORKFLOW_SCRIPT_MODULES mühit dəyişəni ilə idarə olunur) olan Node.js vm sandbox daxilində icra edir. Lakin sandbox kontekstinə ötürülən console obyekti console._stdout və console._stderr vasitəsilə host-realm WritableWorkerStdio axın obyektlərini üzə çıxarır. Autentifikasiya olunmuş hücumçu prototip zəncirini keçərək sandbox-dan çıxa və root səlahiyyətləri ilə uzaqdan kodun icrasını (Remote Code Execution) həyata keçirə bilər. Bu problem versiya 2.0.28-də aradan qaldırılmışdır.
Necə düzəltmək olar
- nocobase nocobase2.0.28 və ya daha yeni versiya
- @nocobase/plugin-workflow-javascript2.0.28 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nocobase nocobase | v < 2.0.28 | 2.0.28 |
| @nocobase/plugin-workflow-javascriptnpm | v < 2.0.28 | 2.0.28 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.