CVE-2026-47378

إصدارات NocoDB السابقة لـ 2026.04.1

تكشف نقاط النهاية العامة للعرض المشترك عن قيم من الأعمدة التي أخفاها مالك العرض عبر ثلاثة مسارات مستقلة. أولاً، تُرجع الدالة groupBy القيم الأولية لأي عمود مذكور في الطلب. ثانياً، تعمل مصفوفات التصفية والفرز على الأعمدة المخفية، مما يتيح الاستخراج البولياني الأعمى (وهي تقنية تُستخدم لاستنتاج البيانات من خلال مراقبة استجابة التطبيق للاستعلامات التي تتطلب إجابة بـ ”صحيح“ أو ”خطأ“). ثالثًا، تقبل قائمة البيانات ذات الصلة معرّفات أعمدة الارتباط التعسفية من الجداول الأخرى داخل نفس القاعدة. وهذا يسمح لأي شخص لديه معرّف UUID للعرض المشترك بتعداد قيم الأعمدة المخفية، أو تأكيد قيم الأعمدة المخفية من خلال مراقبة أعداد الصفوف، أو قراءة السجلات من الجداول غير ذات الصلة في نفس القاعدة دون مصادقة.

قم بالتحديث إلى الإصدار 2026.04.1.