CVE-2026-24768
Açıklama
NocoDB, veritabanlarını hesap tabloları şeklinde oluşturmaya yarayan bir yazılımdır. Versiyon 0.301.0 öncesinde, `continueAfterSignIn` parametresinin doğrulanmaması nedeniyle NocoDB'nin giriş akışında doğrulanmamış yönlendirme (açık yönlendirme) zafiyeti bulunmaktadır. Kimlik doğrulama sırasında NocoDB, kullanıcı kontrollü bir yönlendirme değerini işler ve hedef konumun kaynağı, alanı veya protokolü üzerinde herhangi bir kısıtlama uygulamadan koşullu olarak istemci tarafı gezintisi gerçekleştirir. Bu durum, saldırganların kimliği doğrulanmış kullanıcıları giriş yaptıktan sonra rastgele harici web sitelerine yönlendirmesine olanak tanır. Bu zafiyet, kullanıcıların meşru NocoDB giriş akışına olan güvenini kullanarak oltalama saldırılarının gerçekleştirilmesine imkan verir. Doğrudan kimlik bilgilerini ifşa etmese veya kimlik doğrulamasını atlamasa da sosyal mühendislik yoluyla kimlik bilgileri hırsızlığı olasılığını artırır. Sorun, rastgele kod çalıştırılmasına veya yetki yükseltmeye izin vermez ancak kimlik doğrulama bütünlüğünü zedeler. Versiyon 0.301.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- nocodb nocodb0.301.0 ya da sonraki bir sürüm
- nocodb0.301.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nocodb nocodb | v < 0.301.0 | 0.301.0 |
| nocodbnpm | v < 0.301.0 | 0.301.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.