CVE-2026-47387

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.05.1

Descrição O manipulador de envio de visualização de formulário compartilhado em packages/nc-gui/composables/useSharedFormViewStore.ts não valida o esquema da URL ao gravar a redirect url em window.location.href. Embora seja realizada uma verificação de mesmo host, esquemas que não são de rede, como javascript:, data:, vbscript: e file:, resultam em uma string de host vazia, fazendo com que a aplicação trate a URL como um redirecionamento externo e a execute na origem do NocoDB. Um usuário com a função editor ou superior pode injetar uma URL javascript: na redirect url através do endpoint PATCH de visualização de formulário. Quando um visualizador autenticado envia o formulário por meio de um link compartilhado, o payload é executado, permitindo que o invasor leia o token de sessão do localStorage["nocodb-gui-v2"] e realize ações usando a identidade do visualizador.

Recomendações Atualize para a versão 2026.05.1. Como medida paliativa temporária, restrinja a permissão de usuários com a função editor de modificar a redirect url nas visualizações de formulário até que a atualização seja aplicada.