PT-2026-29814 · Nocobase · Plugin-Workflow-Sql+1
Highmytharcher
·
Publicado
2026-04-01
·
Atualizado
2026-04-03
·
CVE-2026-34825
CVSS v4.0
8.5
Alta
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Name of the Vulnerable Software and Affected Versions
NocoBase versões anteriores a 2.0.30
Description
NocoBase é uma plataforma de no-code/low-code alimentada por IA. O componente
plugin-workflow-sql, em versões até 2.0.8, substitui diretamente variáveis de modelo em strings SQL brutas usando getParsedValue() sem a devida parametrização ou escape. Isso permite que um usuário que acione um fluxo de trabalho contendo um nó SQL com variáveis de modelo derivadas de dados controlados pelo usuário injete código SQL arbitrário. A SQLInstruction em packages/plugins/@nocobase/plugin-workflow-sql/src/server/SQLInstruction.ts processa modelos SQL sem escape ou aspas. Especificamente, a função getParsedValue() executa a substituição de string de placeholders {{$context.data.fieldName}} com valores dos dados de acionamento do fluxo de trabalho. Um invasor pode explorar isso criando uma entrada maliciosa, como um apelido contendo uma carga útil de injeção SQL, para executar comandos SQL arbitrários no banco de dados. Isso pode levar ao acesso total de leitura/gravação do banco de dados, permitindo potencialmente que um invasor extraia credenciais, modifique registros ou exclua tabelas, dependendo dos privilégios do usuário do banco de dados.Recommendations
Atualize para a versão 2.0.30 ou posterior. Implemente consultas parametrizadas substituindo a substituição direta de strings por parâmetros de ligação do Sequelize. Use
processor.getParsedValueAsParams() para gerar a consulta SQL e os parâmetros de ligação.Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nocobase
Plugin-Workflow-Sql