¿Qué es esta vulnerabilidad?
Se trata de una vulnerabilidad de inyección SQL (CWE-89) en NocoDB que permite a usuarios autenticados con permisos de lectura ejecutar consultas SQL arbitrarias en bases de datos PostgreSQL mediante el parámetro where heredado.
Productos y versiones afectadas
Todas las versiones de NocoDB anteriores a la 2026.08.0 que utilicen PostgreSQL como backend.
¿Cómo funciona el ataque?
Atacantes con rol de Viewer (solo lectura) pueden inyectar comillas simples en valores de filtro que son concatenados por CustomKnex.ts, permitiéndoles leer otras tablas, esquemas, filas filtradas y columnas ocultas de la base de datos.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS: 7.7 (alta) y según EPSS existe un 0.4% de probabilidad de explotación real en los próximos 30 días (percentil 32%). Actualmente no hay hosts expuestos detectados en Shodan.
¿Qué hacer?
Actualizar inmediatamente a la versión NocoDB 2026.08.0 o superior para corregir la vulnerabilidad.
| CVE | CVE-2026-126285 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.7 / 10 |
| EPSS | 0.4% en 30 días (percentil 32) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.