CVE-2026-47378

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.04.1

Descrição Endpoints de visualização pública compartilhada expõem valores de colunas que o proprietário da visualização havia ocultado por meio de três caminhos independentes. Primeiro, a função groupBy retorna valores brutos para qualquer coluna nomeada na solicitação. Segundo, matrizes de filtro e classificação operam em colunas ocultas, permitindo a extração boolean-blind (uma técnica usada para inferir dados observando a resposta da aplicação a consultas verdadeiras ou falsas). Terceiro, a lista de dados relacionados aceita IDs de colunas de link arbitrários de outras tabelas na mesma base. Isso permite que qualquer pessoa com um UUID de visualização compartilhada enumere valores de colunas ocultas, confirme valores de colunas ocultas observando a contagem de linhas ou leia registros de tabelas não relacionadas na mesma base sem autenticação.

Recomendações Atualizar para a versão 2026.04.1.