FICHE CVE

CVE-2026-34156

Publiée le 2026-03-31 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les installations de NocoBase antérieures à la version 2.0.28 sont affectées par une évasion de bac à sable (sandbox escape) dans le nœud de script de flux de travail (Workflow Script Node). Un utilisateur authentifié disposant de permissions basiques peut contourner les restrictions pour exécuter du code arbitraire sur le système hôte en tant qu'utilisateur root. Cette attaque peut être réalisée à distance via le réseau sans aucune interaction supplémentaire de l'utilisateur.

CVSS 3.19.9 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-03-31

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to version 2.0.28, NocoBase's Workflow Script Node executes user-supplied JavaScript inside a Node.js vm sandbox with a custom require allowlist (controlled by WORKFLOW_SCRIPT_MODULES env var). However, the console object passed into the sandbox context exposes host-realm WritableWorkerStdio stream objects via console._stdout and console._stderr. An authenticated attacker can traverse the prototype chain to escape the sandbox and achieve Remote Code Execution as root. This issue has been patched in version 2.0.28.