🇰🇷 한글 설명
NocoDB 2026.07.0 이하 버전의 /auth/user/signup 경로에 있는 validatePassword 함수에서 과도한 인증 시도를 제한하지 않는 취약점이 확인되었습니다. 원격에서 공격이 가능하지만 공격 복잡도가 높고 악용이 어렵다고 평가됩니다. 벤더는 이를 의도된 동작으로 문서화했으며, 관련 GitHub 이슈를 설명 없이 삭제하고 사전 공지 이메일에도 응답하지 않았습니다.
💡 쉬운 설명
NocoDB라는 데이터베이스 도구에서 비밀번호를 여러 번 무제한으로 시도할 수 있는 약점이 발견되었습니다. 공격이 어렵고 심각도가 낮지만, 제작사가 대응하지 않아 사용자가 직접 주의해야 합니다.
🇺🇸 원문 (English)
A weakness has been identified in NocoDB up to 2026.07.0. The affected element is the function validatePassword of the file /auth/user/signup. Executing a manipulation can lead to improper restriction of excessive authentication attempts. It is possible to launch the attack remotely. This attack is characterized by high complexity. The exploitability is described as difficult. The vendor documents this as intentional. The vendor deleted the GitHub issue for this vulnerability without any explanation. Afterwards the vendor was contacted early about this disclosure via email but did not respond in any way.
📍 영향받는 시스템
NocoDB 2026.07.0 이하 버전
⚔️ 공격 벡터
원격에서 /auth/user/signup 경로로 비밀번호 검증 요청을 반복 전송하여 인증 시도 횟수 제한을 우회
🛡️ 대응 방법
NocoDB를 2026.07.0보다 높은 패치 버전으로 업그레이드하고, 리버스 프록시나 WAF에서 로그인 및 회원가입 요청 횟수를 제한
🔧 검증 코드
출력된 버전이 2026.07.0 이하이면 취약하며, 그보다 높은 버전이면 이 취약점에 영향받지 않습니다.
docker images nocodb/nocodb --format '{{.Tag}}' 2>/dev/null || cat package.json 2>/dev/null | grep '"version"'