PT-2026-60300 · Nocobase · Nocobase

Publicado 2026-07-15 · Atualizado 2026-07-15 · CVE-2026-55410

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas NocoBase versões anteriores a 2.1.19

Description No componente @nocobase/plugin-backups, a aplicação restaura backups do PostgreSQL interpolando o valor database.schema do arquivo metadata.json em strings de comando de shell. Essas strings são executadas usando a função child process.exec() do Node.js. Um usuário com privilégios de gerenciamento de backup pode explorar isso ao restaurar um backup especialmente criado para executar comandos arbitrários com os privilégios do processo do servidor NocoBase.

Recommendations Atualizar para a versão 2.1.19.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-55410

Produtos afetados

Nocobase

Referências · 6

• https://github.com/nocobase/nocobase/security/advisories/GHSA-p853-83gj-wjj3 · Nota
• https://github.com/nocobase/nocobase/releases/tag/v2.1.19 · Nota
• https://github.com/nocobase/nocobase/commit/0e1aba1b7b112ffc841588963f7343c00edd9806 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-55410 · Nota de Segurança
• https://twitter.com/CVEnew/status/2077503115289616875 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2077503701015461996 · Publicação no Twitter