CVE-2026-24769: NocoDB: XSS armazenado via anexos SVG
As versões do NocoDB anteriores à 0.301.0 contêm um problema de cross-site scripting armazenado no tratamento de anexos, em que arquivos SVG enviados por usuários autenticados podem executar JavaScript nos navegadores de outros usuários. O registro classifica a falha como crítica, com pontuação CVSS 3.1 igual a 9 pela NVD e CVSS 4.0 igual a 8,5 pelo GitHub, e informa que a versão 0.301.0 corrige o problema. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Visão geral
O NocoDB é um software para criar bancos de dados com interface semelhante a planilhas. De acordo com o registro, as versões anteriores à 0.301.0 contêm um problema de cross-site scripting armazenado no tratamento de anexos, classificado como CWE-79. O registro informa que a versão 0.301.0 corrige o problema.
Impacto
Usuários autenticados podem enviar arquivos SVG com JavaScript incorporado. O script pode ser executado no navegador de qualquer outro usuário que visualize o anexo, sob a origem da aplicação. Segundo o registro, isso pode levar ao comprometimento de contas, à exfiltração de dados e a ações não autorizadas em nome dos usuários afetados.
Produtos e versões afetadas
- Produto: Nocodb Nocodb
- Faixa afetada: versões anteriores à 0.301.0
- Correção: 0.301.0, conforme a descrição do registro. O campo estruturado de correções está vazio.
Status de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA, por isso não há exploração ativa relatada nas fontes consultadas. A referência do GitHub aparece marcada como Exploit no registro, mas o registro não descreve seu conteúdo, e essa marcação não confirma exploração no mundo real.
Correção e mitigação
- Atualize o NocoDB para a versão 0.301.0 ou posterior, conforme o aviso de segurança do GitHub.
- Até a atualização, limite quais contas podem enviar anexos e revise os anexos SVG existentes.
- Não renderize arquivos SVG enviados por usuários diretamente no navegador. Sirva os anexos como downloads, com tipos de conteúdo restritivos e cabeçalhos de segurança.
Orientações de detecção
- Faça um inventário dos anexos armazenados e identifique arquivos SVG, principalmente os enviados por contas com poucos privilégios ou criadas recentemente.
- Revise os logs da aplicação em busca de envios de anexos incomuns e de acessos incomuns aos anexos.
- Verifique se os anexos são renderizados em linha no navegador e se há uma política de segurança de conteúdo restritiva.
Limitações das informações disponíveis
O registro não traz a lista de builds afetadas além da faixa de versões, não inclui dados de EPSS ou SSVC e não contém o texto completo do aviso. A pontuação CVSS 3.1 vem da NVD e a CVSS 4.0 do GitHub; o registro não apresenta justificativa adicional para as pontuações.
Perguntas frequentes
Quais versões do NocoDB são afetadas?
O registro indica como afetadas as versões anteriores à 0.301.0. Informa que a versão 0.301.0 corrige o problema.
Como a vulnerabilidade pode ser explorada?
O registro diz que um usuário autenticado pode enviar arquivos SVG com JavaScript incorporado, executado quando outros usuários visualizam o anexo. Os passos de exploração não são descritos aqui.
Há evidência de exploração ativa?
O registro não mostra inclusão no catálogo KEV, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.