CVE-2026-52887
CRITICAL(10.0)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS 10 — Kritisch
EPSS-Score
0.9%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
10
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-52887 betrifft NocoBase, eine No-Code/Low-Code-Plattform, genauer das Plugin @nocobase/plugin-notification-in-app-message. Ein authentifizierter Benutzer kann über den Endpunkt GET /api/myInAppChannels:list SQL-Injection-Angriffe durchführen. Dies ermöglicht das Ausführen gestapelter PostgreSQL-Anweisungen und potenziell die Befehlsausführung mittels COPY ... TO PROGRAM.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to 2.0.61, NocoBase @nocobase/plugin-notification-in-app-message exposed GET /api/myInAppChannels:list, where the filter[latestMsgReceiveTimestamp][$lt] value was inserted into a Sequelize.literal() template string without escaping or parameter binding, allowing a signed-up authenticated user to run stacked PostgreSQL statements and potentially execute commands with COPY ... TO PROGRAM. This vulnerability is fixed in 2.0.61.
GitHub Advisories
NocoBase: SQL injection in /api/myInAppChannels:list filter to PG-superuser RCE