CVE-2026-41640
Açıklama
NocoBase, iş uygulamaları ve kurumsal çözümler oluşturmak için kullanılan yapay zeka destekli bir no-code/low-code platformudur. Versiyon 2.0.39 öncesinde, core veritabanı paketindeki queryParentSQL() fonksiyonu, parametreli sorgular kullanmak yerine nodeIds değerlerini dize birleştirme ile ekleyerek özyinelemeli bir CTE sorgusu oluşturmaktadır. nodeIds dizisi, veritabanı satırlarından okunan birincil anahtar değerlerini içerir. Kötü niyetli bir dizeye sahip birincil anahtarla kayıt oluşturabilen bir saldırgan, sonraki herhangi bir istek söz konusu koleksiyonda özyinelemeli eager loading işlemini tetiklediğinde rastgele SQL enjekte edebilir. Bu sorun versiyon 2.0.39 ile düzeltilmiştir.
Nasıl düzeltilir
- nocobase nocobase2.0.39 ya da sonraki bir sürüm
- @nocobase/database2.0.39 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nocobase nocobase | v < 2.0.39 | 2.0.39 |
| @nocobase/databasenpm | v < 2.0.39 | 2.0.39 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.