PT-2026-46996 · Git+2 · Nocodb

0Xbassia · CVE-2026-47378 · Publicado 2026-06-05 · Atualizado 2026-06-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.04.1

Descrição Endpoints de visualização pública compartilhada expõem valores de colunas que o proprietário da visualização havia ocultado por meio de três caminhos independentes. Primeiro, a função groupBy retorna valores brutos para qualquer coluna nomeada na solicitação. Segundo, matrizes de filtro e classificação operam em colunas ocultas, permitindo a extração boolean-blind (uma técnica usada para inferir dados observando a resposta da aplicação a consultas verdadeiras ou falsas). Terceiro, a lista de dados relacionados aceita IDs de colunas de link arbitrários de outras tabelas na mesma base. Isso permite que qualquer pessoa com um UUID de visualização compartilhada enumere valores de colunas ocultas, confirme valores de colunas ocultas observando a contagem de linhas ou leia registros de tabelas não relacionadas na mesma base sem autenticação.

Recomendações Atualizar para a versão 2026.04.1.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-47378

GHSA-4W6R-5C2J-QF5F

Produtos afetados

Nocodb

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/47xxx/CVE-2026-47378.json · Exploit
• https://github.com/nocodb/nocodb/security/advisories/GHSA-4w6r-5c2j-qf5f · Nota
• https://github.com/nocodb/nocodb · Nota
• https://github.com/nocodb/nocodb/releases/tag/2026.04.1 · Nota
• https://t.me/cveNotify/175176 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-47378 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4w6r-5c2j-qf5f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47378 · Nota de Segurança
• https://t.me/cveNotify/175063 · Publicação no Telegram