🇰🇷 한글 설명
NocoBase의 @nocobase/plugin-notification-in-app-message 플러그인에서 발생하는 SQL 인젝션 취약점입니다. 인증된 사용자가 특정 API 엔드포인트의 필터 매개변수를 조작하여 PostgreSQL 명령어를 실행하고 시스템 명령어를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템의 데이터베이스에 몰래 명령어를 입력하여 서버를 마음대로 조종할 수 있는 심각한 보안 결함입니다. 이로 인해 해커가 서버의 제어권을 완전히 가져갈 위험이 있습니다.
🇺🇸 원문 (English)
NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to 2.0.61, NocoBase @nocobase/plugin-notification-in-app-message exposed GET /api/myInAppChannels:list, where the filter[latestMsgReceiveTimestamp][$lt] value was inserted into a Sequelize.literal() template string without escaping or parameter binding, allowing a signed-up authenticated user to run stacked PostgreSQL statements and potentially execute commands with COPY ... TO PROGRAM. This vulnerability is fixed in 2.0.61.
📍 영향받는 시스템
NocoBase @nocobase/plugin-notification-in-app-message (2.0.61 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 GET /api/myInAppChannels:list 요청 시 필터 매개변수에 악의적인 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
NocoBase를 최신 보안 패치가 적용된 2.0.61 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.0.61 미만이면 취약한 상태이며, 2.0.61 이상이면 안전합니다.
npm list @nocobase/plugin-notification-in-app-message