Уязвимость раскрытия информации в NocoDB (CVE-2026-116122)

Введение

В платформе для работы с базами данных NocoDB выявлена уязвимость, связанная с раскрытием информации. Проблема затрагивает механизм аутентификации и может представлять интерес для злоумышленников, нацеленных на получение чувствительных данных.

Подробности

Уязвимости подвержены версии NocoDB вплоть до 2026.07.0 включительно. Проблема локализована в функции AuthService.validateUser, входящей в состав компонента Sign-in Endpoint (точка входа в систему). При манипуляции аргументом salt становится возможным раскрытие информации.

Атака может быть инициирована удалённо. При этом сложность эксплуатации оценивается как высокая, а сама эксплуатируемость — как затруднительная. Уязвимости присвоен идентификатор CVE-2026-116122 и оценка 6.3 по шкале CVSS, что соответствует среднему уровню критичности.

Отдельного внимания заслуживает реакция производителя: вендор удалил соответствующий issue на GitHub без каких-либо пояснений. Впоследствии он был заблаговременно уведомлён об уязвимости по электронной почте, однако не ответил.

Что делать

На момент публикации официальное исправление не подтверждено, поэтому рекомендуется:

• отслеживать обновления NocoDB и оперативно устанавливать новые версии после их выпуска;
• ограничить сетевой доступ к точке входа в систему (Sign-in Endpoint) доверенными сегментами и адресами;
• усилить мониторинг подозрительных запросов к эндпоинту аутентификации;
• по возможности применять дополнительные слои защиты — WAF и строгую аутентификацию на периметре.

Уязвимость CVE-2026-116122 в NocoDB относится к классу раскрытия информации и имеет средний уровень критичности. Несмотря на высокую сложность эксплуатации, отсутствие реакции вендора и публичного исправления требует от организаций, использующих NocoDB, повышенного внимания к ограничению доступа к механизму аутентификации и мониторингу связанных с ним событий.

Источник: CVE Project (cvelistV5)