PT-2026-60296 · Nocobase · @Nocobase/Plugin-Notification-In-App-Message+1

Publicado 2026-07-15 · Atualizado 2026-07-15 · CVE-2026-52887

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas NocoBase versões anteriores a 2.0.61

Description Existe um problema no @nocobase/plugin-notification-in-app-message onde o endpoint 'GET /api/myInAppChannels:list' está exposto. Um usuário autenticado e cadastrado pode explorar isso fornecendo um valor para a variável filter[latestMsgReceiveTimestamp][$lt], que é inserida em uma string de template Sequelize.literal() sem a devida filtragem ou vinculação de parâmetros. Isso permite a execução de instruções PostgreSQL empilhadas, possivelmente permitindo a execução de comandos através da funcionalidade COPY ... TO PROGRAM.

Recommendations Atualizar para a versão 2.0.61.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-52887

Produtos afetados

@Nocobase/Plugin-Notification-In-App-Message

Nocobase

Referências · 5

• https://github.com/nocobase/nocobase/security/advisories/GHSA-p849-8hwh-84j9 · Nota
• https://github.com/nocobase/nocobase/releases/tag/v2.0.61 · Nota
• https://github.com/nocobase/nocobase/commit/68d64e3fcfb8be2ae4f3bfc9e1ee3f85b87c89ce · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-52887 · Nota de Segurança
• https://twitter.com/CVEnew/status/2077503118624084188 · Publicação no Twitter