CVE-2026-47377

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.04.1

Descrição O plugin hashRedirect no lado do cliente, localizado no arquivo packages/nc-gui/plugins/hashRedirect.client.ts, realiza uma verificação insuficiente em caminhos extraídos do fragmento de hash da URL. O plugin utiliza o método startsWith('/') para validar a variável hashPath antes de passá-la para a função window.location.replace(). Como URLs relativas ao protocolo (que começam com //) também satisfazem essa condição, os navegadores as interpretam como URLs absolutas, permitindo que um link malicioso redirecione silenciosamente os usuários para uma origem controlada por um invasor. Este redirecionamento aberto não requer autenticação e pode ser usado para levar as vítimas a páginas que imitam uma tela de login.

Recomendações Atualizar para a versão 2026.04.1.