CVE-2026-24769

Nome do Software Vulnerável e Versões Afetadas Versões do NocoDB anteriores a 0.301.0

Descrição O NocoDB possui uma vulnerabilidade de cross-site scripting (XSS) armazenado na manipulação de seus anexos. Usuários autenticados podem fazer upload de arquivos SVG maliciosos contendo JavaScript incorporado. Esses arquivos são renderizados inline e executados nos navegadores de outros usuários que visualizam o anexo. A causa raiz são verificações de tipo MIME excessivamente permissivas e a falta de sanitização de conteúdo ao servir arquivos SVG. Especificamente, a função isPreviewAllowed em attachmentHelpers.ts utiliza uma verificação baseada em substring que classifica incorretamente arquivos SVG como seguros para visualização. O endpoint fileReadv3 em attachments.controller.ts serve esses arquivos sem sanitização ou imposição de tipo de conteúdo, permitindo que navegadores executem o JavaScript incorporado sob a origem da aplicação NocoDB. A exploração bem-sucedida pode levar ao comprometimento de conta, exfiltração de dados e ações não autorizadas realizadas em nome dos usuários afetados.

Recomendações Versões anteriores a 0.301.0 devem ser atualizadas para a versão 0.301.0 ou posterior.