PT-2026-146610

CVE-2026-126279

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

7.0

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.06.2

Description Um problema de cross-site scripting armazenado existe no componente PromptWithFields.vue. A aplicação renderiza referências de campo não escapadas de prompts de campo de IA como HTML em uma dica de ferramenta (tooltip). Usuários com a função de Creator ou superior podem injetar marcações maliciosas em uma referência de campo de prompt. Essa marcação é executada quando outra vítima abre a configuração do campo, permitindo que o invasor roube o token de sessão do localStorage para fazer chamadas de API autenticadas como a vítima.

Recommendations Atualize o NocoDB para a versão 2026.06.2 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Geo-Chen

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados