CVE-2026-34825
Açıklama
NocoBase, iş uygulamaları ve kurumsal çözümler oluşturmak için kullanılan yapay zeka destekli bir no-code/low-code platformudur. Versiyon 2.0.30 öncesinde, NocoBase plugin-workflow-sql şablon değişkenlerini parametreleştirme veya kaçış karakterleri kullanmadan doğrudan getParsedValue() aracılığıyla ham SQL dizilerine yerleştirmektedir. Kullanıcı kontrollü verilerden gelen şablon değişkenlerine sahip bir SQL düğümü içeren iş akışını tetikleyen herhangi bir kullanıcı, keyfi SQL enjeksiyonu gerçekleştirebilir. Bu sorun versiyon 2.0.30 ile düzeltilmiştir.
Nasıl düzeltilir
- nocobase nocobase2.0.30 ya da sonraki bir sürüm
- @nocobase/plugin-workflow-sql2.0.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nocobase nocobase | v < 2.0.30 | 2.0.30 |
| @nocobase/plugin-workflow-sqlnpm | v < 2.0.30 | 2.0.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.