PT-2026-49060

CVE-2026-53926

Publicado

2026-06-05

Atualizado

2026-06-25

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NocoDB versões anteriores a 2026.05.1

Descrição Tokens de acesso e de atualização OAuth não são revogados quando um usuário altera, redefine ou recupera sua senha. Isso ocorre porque a função revokeAllOAuthTokensByUser() no serviço de usuários era um stub vazio chamado por passwordChange(), passwordForgot() e passwordReset(). Consequentemente, uma concessão OAuth emitida por um invasor permanece válida mesmo depois que o usuário realiza essas ações de segurança para bloquear partes não autorizadas, permitindo acesso não autorizado persistente.

Recomendações Atualize para a versão 2026.05.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Bugbunny-Research

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-613: Insufficient Session Expiration

Identificadores relacionados