CVE-2026-24766
Publiée le 2026-01-28 · Dernière modification le 2026-06-17
Les installations de NocoDB antérieures à la version 0.301.0 sont concernées. Un utilisateur authentifié disposant des permissions de créateur d'organisation peut déclencher une attaque par déni de service qui interrompt toutes les opérations d'écriture dans la base de données pour chaque utilisateur jusqu'au redémarrage du serveur. Cette attaque est facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle exige que l'attaquant possède des permissions de compte de haut niveau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NocoDB is software for building databases as spreadsheets. Prior to version 0.301.0, an authenticated user with org-level-creator permissions can exploit prototype pollution in the `/api/v2/meta/connection/test` endpoint, causing all database write operations to fail application-wide until server restart. While the pollution technically bypasses SUPER_ADMIN authorization checks, no practical privileged actions can be performed because database operations fail immediately after pollution. Version 0.301.0 patches the issue.