NocoBase plugin-collection-sql: SQL-Injection über sqlCollection:setFields

Zusammenfassung

Das NocoBase-Plugin @nocobase/plugin-collection-sql bis und mit Version 2.2.28 erlaubt privilegierten Benutzern, ungeprüftes SQL zu speichern, indem die Prüfung checkSQL() über die Aktion sqlCollection:setFields umgangen wird. Ein Angreifer mit dem Snippet collection-sql kann eine harmlose Collection-Abfrage durch gefährliche Anweisungen ersetzen, die beim erneuten Laden ausgeführt werden. Dadurch können Passwort-Hashes aus pg_shadow ausgelesen oder pg_read_file aufgerufen werden.

Betroffen

• @nocobase/plugin-collection-sql bis 2.2.28 (gemäss CVE-Eintrag: betroffen 0 bis <= 2.2.28)

Behoben in

Unbekannt. Es wurde keine korrigierte Version bestätigt.

Umgehung

• Berechtigungen für die Collection-Verwaltung und SQL-Snippets auf die kleinstmögliche Gruppe von Benutzern beschränken
• Bestehende SQL-basierte Collections auf unerwartetes oder verändertes SQL prüfen
• Die Datenbankrolle von NocoBase mit minimalen Rechten betreiben, ohne unnötigen Zugriff auf Serverdateien oder Systemkataloge
• NocoBase bis zur Bestätigung einer Korrektur vom öffentlichen Internet fernhalten oder den Zugriff über SSO/VPN einschränken

Ausnutzung

• Bekanntermassen ausgenutzt: Nein (gemäss aktuellen Quellen)
• Öffentlicher Proof of Concept: keiner gefunden; fehlende Funde sind kein Beleg für das Nichtvorhandensein
• Der Angriff erfordert Netzwerkzugriff und hohe Berechtigungen (CVSS 4.0 PR:H), keine Benutzerinteraktion
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total

Unsere Empfehlung

• Prüfen, ob NocoBase mit @nocobase/plugin-collection-sql bis 2.2.28 im Einsatz und aus dem Internet erreichbar ist
• Die Verwaltung von Collections und SQL-Snippets auf wenige Personen beschränken und Administratorkonten überprüfen
• Bestehende SQL-Collections auf unerwartete Änderungen prüfen
• Die Datenbankrolle nach dem Prinzip der minimalen Rechte konfigurieren
• GitHub-Issue #10629 und neue NocoBase-Releases beobachten und sofort aktualisieren, sobald eine korrigierte Version bestätigt ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NocoBase GitHub issue #10629 github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable source file at v2.2.28 github.com
• NocoBase GitHub repository github.com
• OSV entry CVE-2026-112306 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:47.