🇰🇷 한글 설명
NocoDB 2026.08.0 이하 버전의 비밀번호 재설정 흐름(packages/nocodb/src/services/users/users.service.ts)에서 발견된 경쟁 조건(race condition) 취약점입니다. 원격에서 공격이 가능하며, 벤더가 GitHub 이슈를 설명 없이 삭제했고 사전 고지 이메일에도 응답하지 않았습니다.
💡 쉬운 설명
NocoDB의 비밀번호 재설정 기능에서 여러 요청이 동시에 처리될 때 생기는 빈틈이 발견되었습니다. 공격자가 이 빈틈을 이용해 재설정 과정을 방해하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in NocoDB up to 2026.08.0. This affects an unknown part of the file packages/nocodb/src/services/users/users.service.ts of the component Password-Reset Flow. The manipulation results in race condition. The attack can be executed remotely. The vendor deleted the GitHub issue for this vulnerability without any explanation. Afterwards the vendor was contacted early about this disclosure via email but did not respond in any way.
📍 영향받는 시스템
NocoDB 2026.08.0 이하 버전
⚔️ 공격 벡터
원격에서 비밀번호 재설정 요청을 동시에 다수 보내 경쟁 조건을 유발하는 방식
🛡️ 대응 방법
NocoDB를 2026.08.0 초과 패치 버전으로 업그레이드하고, 벤더의 공식 보안 공지를 확인하세요.
🔧 검증 코드
출력된 이미지 태그 또는 패키지 버전이 2026.08.0 이하이면 취약한 것이므로 업그레이드가 필요하며, 결과가 없으면 NocoDB가 설치되지 않은 것입니다.
docker inspect --format='{{.Config.Image}}' $(docker ps -q --filter ancestor=nocodb/nocodb) 2>/dev/null || npm list nocodb 2>/dev/null