CVE-2026-47387

إصدارات NocoDB السابقة للإصدار 2026.05.1

يفشل معالج إرسال عرض النموذج المشترك الموجود في packages/nc-gui/composables/useSharedFormViewStore.ts في التحقق من صحة نظام عناوين URL عند كتابة redirect url إلى window.location.href. على الرغم من إجراء فحص المضيف نفسه، فإن أنظمة العناوين التي لا تتعلق بالشبكة مثل javascript: وdata: وvbscript: وfile: تؤدي إلى سلسلة مضيف فارغة، مما يجعل التطبيق يعامل عنوان URL على أنه إعادة توجيه خارجي ويقوم بتنفيذه داخل مصدر NocoDB. يمكن للمستخدم الذي يحمل دور editor أو أعلى إدخال عنوان URL من نوع javascript: في redirect url عبر نقطة نهاية PATCH الخاصة بعرض النموذج. وعندما يقوم مشاهد تمت مصادقته بإرسال النموذج عبر رابط مشترك، يتم تنفيذ الحمولة، مما يسمح للمهاجم بقراءة رمز الجلسة من localStorage[”nocodb-gui-v2“] وتنفيذ إجراءات باستخدام هوية المشاهد.

قم بالتحديث إلى الإصدار 2026.05.1.

كحل مؤقت، قم بتقييد المستخدمين الذين يحملون دور «editor» من تعديل «redirect url» في عرض النماذج حتى يتم تطبيق التحديث.