Уязвимость состояния гонки при регистрации в NocoDB (CVE-2026-116121)

В популярной платформе для совместной работы с базами данных NocoDB выявлена уязвимость, затрагивающая механизм регистрации пользователей. Проблема получила идентификатор CVE-2026-116121 и оценку 6.3 по шкале CVSS, что соответствует среднему уровню критичности.

Подробности

Уязвимость затрагивает NocoDB вплоть до версии 2026.08.0 включительно. Проблема локализована в файле users.service.ts и относится к классу состояний гонки (race condition): при определённом стечении обстоятельств обработка запросов в компоненте регистрации может выполняться некорректно из-за конкурентного доступа. Точная функция, в которой проявляется ошибка, в описании CVE не уточняется.

Атака может проводиться удалённо, однако требует высокого уровня сложности — эксплуатация оценивается как затруднительная. Это означает, что злоумышленнику необходимо точно рассчитать тайминги конкурентных запросов, что снижает практическую вероятность успешной атаки, но не исключает её полностью.

Отдельного внимания заслуживает реакция вендора: производитель удалил GitHub-issue с описанием уязвимости без каких-либо пояснений, а на письменное обращение о раскрытии информации не ответил. Таким образом, официальные комментарии и сведения о выпуске исправления на момент публикации записи CVE отсутствуют.

Что делать

Поскольку подтверждённого патча вендор не предоставил, рекомендуем принять следующие меры:

• Отслеживать официальные каналы NocoDB и обновиться до версии новее 2026.08.0 сразу после выпуска исправления.
• Ограничить доступ к функции самостоятельной регистрации: где это возможно, отключить открытую регистрацию или перевести создание учётных записей в режим ручного администрирования.
• Разместить экземпляры NocoDB за обратным прокси или WAF с ограничением частоты запросов к эндпоинтам регистрации — это снижает возможность проведения конкурентных атак.
• Ограничить сетевой доступ к инсталляции (VPN, список разрешённых адресов) и включить журналирование запросов к регистрации для выявления аномальной активности.
• Провести ревизию учётных записей на предмет подозрительных регистраций, особенно если экземпляр доступен из интернета.

Итог: CVE-2026-116121 — умеренно опасная уязвимость с трудной эксплуатацией, но отсутствие патча и молчание вендора требуют компенсирующих мер. Организациям, использующим NocoDB, стоит временно ужесточить контроль над регистрацией пользователей и внимательно следить за обновлениями продукта.

Источник: CVE Project (cvelistV5)