PT-2026-146615
CVE-2026-126284
·
Publicado
2026-11-13
·
Atualizado
2026-11-13
Descrição por
CVSS 3.1
3.1
BaixaMétricasAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas
NocoDB versões 2026.05.2 through 2026.06.9
Description
Um problema de server-side request forgery (SSRF) existe onde usuários com a função de Editor podem buscar URLs internas. Isso ocorre porque o processo de importação de dados reutiliza a isenção de rede interna destinada aos webhooks. Quando as variáveis
NC ALLOW LOCAL HOOKS ou NC WEBHOOK ALLOW PRIVATE NETWORK estão ativadas, um invasor pode solicitar serviços internos usando URLs que terminam em extensões CSV ou de planilha para ler as respostas.Recommendations
Atualize o NocoDB para a versão 2026.07.0 ou posterior.
Desative as variáveis
NC ALLOW LOCAL HOOKS e NC WEBHOOK ALLOW PRIVATE NETWORK para evitar solicitações de rede interna.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾