CVE-2026-52887
Açıklama
NocoBase, iş uygulamaları ve kurumsal çözümler oluşturmak için kullanılan yapay zeka destekli bir no-code/low-code platformudur. 2.0.61 sürümünden önce, NocoBase @nocobase/plugin-notification-in-app-message bileşeni, filter[latestMsgReceiveTimestamp][$lt] değerinin herhangi bir kaçış karakteri veya parametre bağlama işlemi olmadan bir Sequelize.literal() şablon dizesine yerleştirildiği GET /api/myInAppChannels:list uç noktasını dışarıya açmıştır; bu durum, kayıtlı ve kimliği doğrulanmış bir kullanıcının yığınlanmış PostgreSQL ifadeleri çalıştırmasına ve potansiyel olarak COPY ... TO PROGRAM ile komutlar yürütmesine olanak tanımaktadır. Bu güvenlik açığı 2.0.61 sürümünde giderilmiştir.
Nasıl düzeltilir
- @nocobase/plugin-notification-in-app-message2.0.61 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @nocobase/plugin-notification-in-app-messagenpm | v < 2.0.61 | 2.0.61 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.