🇰🇷 한글 설명
NocoDB 2026.07.0 이하 버전에서 /auth/user/signup 엔드포인트의 PublicApiLimiterGuard 구성요소 내 UserRefreshToken.deleteAllUserToken 함수에 취약점이 발견되었습니다. 인증되지 않은 회원가입 및 비밀번호 찾기 엔드포인트에 앱 내 속도 제한이 없고, 요청마다 리프레시/OAuth 토큰이 무효화되어 리소스 할당 문제가 발생할 수 있습니다. 벤더는 이 이슈를 설명 없이 삭제했고 사전 고지 이메일에도 응답하지 않았습니다.
💡 쉬운 설명
공격자가 대량의 요청을 보내 서버 자원을 소모시키거나 사용자 로그인 세션을 강제로 끊을 수 있습니다. 공격 난이도가 높고 실제 악용은 어렵다고 평가됩니다.
🇺🇸 원문 (English)
A vulnerability was determined in NocoDB up to 2026.07.0. This vulnerability affects the function UserRefreshToken.deleteAllUserToken of the file /auth/user/signup of the component PublicApiLimiterGuard. This manipulation causes allocation of resources. The attack is possible to be carried out remotely. The attack is considered to have high complexity. It is stated that the exploitability is difficult. Code-verified absence of in-app rate limiting on the unauthenticated signup and password-forgot endpoints and per-request refresh/OAuth token invalidation, but the vendor documents the pass-through limiter as intentional design. The vendor deleted the GitHub issue for this vulnerability without any explanation. Afterwards the vendor was contacted early about this disclosure via email but did not respond in any way.
📍 영향받는 시스템
NocoDB 2026.07.0 이하 버전
⚔️ 공격 벡터
원격에서 인증 없이 회원가입/비밀번호 찾기 엔드포인트에 반복 요청을 보내 리소스를 고갈시키거나 토큰 무효화를 유발
🛡️ 대응 방법
NocoDB를 패치된 최신 버전으로 업데이트하고, 리버스 프록시 또는 WAF 단에서 인증/계정 관련 엔드포인트에 요청 속도 제한 적용
🔧 검증 코드
출력된 이미지 태그나 실행 명령에서 NocoDB 버전을 확인하고, 2026.07.0 이하이면 취약한 것으로 판단하여 업데이트가 필요합니다. 출력이 없으면 NocoDB가 실행 중이 아닐 수 있습니다.
docker inspect --format '{{.Config.Image}}' $(docker ps -q --filter ancestor=nocodb/nocodb) 2>/dev/null || cat /proc/$(pgrep -f nocodb | head -1)/cmdline 2>/dev/null | tr '\0' ' '