PT-2026-46995 · Git+2 · Nocodb

Fg0X0 · CVE-2026-47377 · Publicado 2026-06-05 · Atualizado 2026-06-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.04.1

Descrição O plugin hashRedirect no lado do cliente, localizado no arquivo packages/nc-gui/plugins/hashRedirect.client.ts, realiza uma verificação insuficiente em caminhos extraídos do fragmento de hash da URL. O plugin utiliza o método startsWith('/') para validar a variável hashPath antes de passá-la para a função window.location.replace(). Como URLs relativas ao protocolo (que começam com //) também satisfazem essa condição, os navegadores as interpretam como URLs absolutas, permitindo que um link malicioso redirecione silenciosamente os usuários para uma origem controlada por um invasor. Este redirecionamento aberto não requer autenticação e pode ser usado para levar as vítimas a páginas que imitam uma tela de login.

Recomendações Atualizar para a versão 2026.04.1.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-47377

GHSA-RVP5-9P55-F5RP

Produtos afetados

Nocodb

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/47xxx/CVE-2026-47377.json · Exploit
• https://github.com/nocodb/nocodb/security/advisories/GHSA-rvp5-9p55-f5rp · Nota
• https://github.com/nocodb/nocodb · Nota
• https://github.com/nocodb/nocodb/releases/tag/2026.04.1 · Nota
• https://t.me/cveNotify/174011 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-47377 · Aviso do Fabricante
• https://t.me/cveNotify/175175 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rvp5-9p55-f5rp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47377 · Nota de Segurança