PT-2026-146607

CVE-2026-126276

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

8.2

Alta

MétricasAV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.08.1

Description Existe uma falha de bypass de autenticação em oauth-token.service.ts onde o Proof Key for Code Exchange (PKCE) é incorretamente tratado como um substituto para a autenticação de cliente confidencial. Isso faz com que o sistema ignore a verificação do segredo do cliente quando este é omitido. Um invasor que tenha capturado um código de autorização e o verificador PKCE pode gerar tokens de acesso e tokens de atualização de 60 dias para um cliente confidencial sem possuir o segredo do cliente necessário.

Recommendations Atualize o NocoDB para a versão 2026.08.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Mantraak

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-287: Improper Authentication

Identificadores relacionados