Dongyanglyu

**Nome do Software Vulnerável e Versões Afetadas** Actual versões anteriores a 26.7.0 **Description** Uma falha de autorização permite que um usuário compartilhado com `user access` em um arquivo de orçamento execute ações de gerenciamento de arquivos reservadas ao proprietário ou a um administrador. Isso ocorre porque a função `requireFileAccess()` trata incorretamente o acesso compartilhado comum como suficiente para operações de alto privilégio. Um invasor pode explorar isso chamando os seguintes endpoints de API: '/delete-user-file', '/reset-user-file' e '/user-create-key'. **Recommendations** Atualize para a versão 26.7.0.

**Nome do Software Vulnerável e Versões Afetadas** NocoDB versões anteriores a 2026.05.1 **Descrição** Um usuário em um espaço de trabalho pode exercer a integração de outro espaço de trabalho fornecendo seu ID para o endpoint 'testConnection'. Isso ocorre porque a integração é recuperada em um escopo de bypass e a verificação de permissão apenas valida se o chamador possui a função de proprietário ou criador em qualquer base em qualquer espaço de trabalho, em vez de restringir a verificação ao espaço de trabalho específico da integração. Isso permite o acesso cross-tenant a configurações de integração e a capacidade de operar o banco de dados resolvido usando as credenciais de outro espaço de trabalho. **Recomendações** Atualizar para a versão 2026.05.1.