CVE-2026-34156
Açıklama
NocoBase, iş uygulamaları ve kurumsal çözümler oluşturmak için kullanılan yapay zeka destekli bir no-code/low-code platformudur. Versiyon 2.0.28 öncesinde, NocoBase'in Workflow Script Node bileşeni, kullanıcı tarafından sağlanan JavaScript kodlarını özel bir require izin listesiyle (WORKFLOW_SCRIPT_MODULES ortam değişkeni tarafından kontrol edilir) bir Node.js vm sandbox içerisinde yürütür. Ancak, sandbox bağlamına aktarılan console nesnesi, console._stdout ve console._stderr aracılığıyla host-realm WritableWorkerStdio akış nesnelerini açığa çıkarmaktadır. Kimliği doğrulanmış bir saldırgan, prototip zincirini takip ederek sandbox'tan çıkabilir ve root yetkileriyle Uzaktan Kod Çalıştırma gerçekleştirebilir. Bu sorun versiyon 2.0.28 ile düzeltilmiştir.
Nasıl düzeltilir
- nocobase nocobase2.0.28 ya da sonraki bir sürüm
- @nocobase/plugin-workflow-javascript2.0.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nocobase nocobase | v < 2.0.28 | 2.0.28 |
| @nocobase/plugin-workflow-javascriptnpm | v < 2.0.28 | 2.0.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.