🇰🇷 한글 설명
NocoDB 2026.07.0 이하 버전의 로그인 엔드포인트인 AuthService.validateUser 함수에서 salt 인자 조작을 통해 정보 노출이 발생하는 취약점이 발견되었습니다. 원격에서 공격이 가능하나 공격 복잡도가 높고 악용이 어렵습니다. 벤더는 GitHub 이슈를 설명 없이 삭제했으며, 사전 이메일 고지에도 응답하지 않았습니다.
💡 쉬운 설명
로그인 과정에서 암호화에 쓰이는 값을 조작하면 일부 정보가 외부로 새어 나갈 수 있는 문제입니다. 공격이 어렵고 피해 범위가 제한적이지만, 해당 버전을 사용 중이라면 주의가 필요합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in NocoDB up to 2026.07.0. Impacted is the function AuthService.validateUser of the component Sign-in Endpoint. Performing a manipulation of the argument salt results in information disclosure. It is possible to initiate the attack remotely. The attack's complexity is rated as high. The exploitability is considered difficult. The vendor deleted the GitHub issue for this vulnerability without any explanation. Afterwards the vendor was contacted early about this disclosure via email but did not respond in any way.
📍 영향받는 시스템
NocoDB 2026.07.0 이하 버전
⚔️ 공격 벡터
원격에서 로그인 엔드포인트의 salt 인자를 조작하여 정보를 탈취하는 방식 (공격 복잡도 높음)
🛡️ 대응 방법
NocoDB를 취약점이 수정된 최신 버전으로 업데이트하고, 벤더의 공식 보안 공지를 확인하십시오.
🔧 검증 코드
출력된 태그 중 2026.07.0 이하 버전이 있으면 취약 가능성이 있으며, 패치된 최신 버전 태그와 비교하여 판단합니다.
docker images nocodb/nocodb --format '{{.Tag}}' 2>/dev/null | head -n 5