CVE-2026-47385

NocoDB, veritabanlarını hesap tabloları şeklinde oluşturmaya yarayan bir yazılımdır. 2026.05.1 sürümünden önce, base-create iznine sahip kimliği doğrulanmış bir kullanıcı, NocoDB'nin kendi dahili veritabanları da dahil olmak üzere NocoDB ana makinesindeki rastgele bir dosyayı işaret eden bir SQLite kaynağı ekleyebilir. SQLite istemcisi ve base/integration oluşturma servisleri, çağrıcı tarafından sağlanan dosya adını kabul etmiş ve konumu kısıtlamadan fs.exists ve fs.open('w') fonksiyonlarına iletmiştir. Bir kullanıcı; kaynağı noco.db'ye, nc_minimal_dbs/ altındaki bir kiracı veritabanına veya NocoDB işleminin erişebildiği herhangi bir yazılabilir yola yönlendirebilir ve ardından standart tablo API'leri aracılığıyla içeriğini okuyabilir veya üzerine yazabilir. Bu güvenlik açığı 2026.05.1 sürümünde giderilmiştir.