CVE-2026-79914

Nome do Software Vulnerável e Versões Afetadas NocoBase versões 2.1.0 through 2.1.14

Description Existe um problema no plugin @nocobase/plugin-action-custom-request onde um usuário autenticado com baixos privilégios pode realizar um Server-Side Request Forgery (SSRF). Ao chamar o endpoint customRequests:send, um invasor pode sobrescrever a URL de requisição armazenada em tempo de execução usando a variável options.url. Isso permite que o servidor seja usado como um proxy de rede confiável para enviar requisições HTTP externas para destinos internos, gateways de host Docker ou endpoints de metadados de nuvem, expondo potencialmente serviços internos.

Recommendations Atualize o NocoBase para a versão 2.1.15. Como mitigação temporária, restrinja o acesso ao endpoint customRequests:send apenas a administradores. Configure a variável de ambiente SERVER REQUEST WHITELIST para limitar os destinos de requisição externos permitidos.