https://alertas.dupin.com.ar/fabricante/nocodb/Alertas de vulnerabilidades de NocoDB.esWed, 04 Nov 2026 00:27:54 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121736/tg:63087Wed, 04 Nov 2026 00:27:54 +0000VulnerabilidadNocoDB 0.300.0 antes de 2026.08.0 contiene una vulnerabilidad de falta de autenticación en el handler POST /api/v2/oauth/authorize que permite a atacantes no autenticados crear códigos de autorización OAuth. Pueden enviar solicitudes anónimas con client_id, redirect_uri y approved=true para insertar registros de códigos de autorización sin dueño y sin límite, solo acotados por el rate limiting.https://alertas.dupin.com.ar/cve/CVE-2026-119715/tg:62305Fri, 30 Oct 2026 17:39:08 +0000VulnerabilidadNocoDB antes de 2026.08.0 contiene una vulnerabilidad de clickjacking que permite a cualquier origen enmarcar la interfaz autenticada porque no se envían encabezados X-Frame-Options ni CSP frame-ancestors. Un atacante puede superponer la sesión de un usuario autenticado desde una página maliciosa y engañarlo para que modifique o elimine registros, cambie la configuración de uso compartido o invite colaboradores.https://alertas.dupin.com.ar/cve/CVE-2026-116120/tg:61237Mon, 26 Oct 2026 08:15:28 +0000VulnerabilidadUna vulnerabilidad en NocoDB hasta 2026.07.0 afecta la función UserRefreshToken.deleteAllUserToken del archivo /auth/user/signup, en el componente PublicApiLimiterGuard. La manipulación provoca asignación de recursos; el ataque es remoto, de alta complejidad y difícil explotación. El proveedor considera el limitador intencional y no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116123/tg:61236Mon, 26 Oct 2026 08:15:24 +0000VulnerabilidadUna debilidad en NocoDB hasta 2026.07.0 afecta la función validatePassword del archivo /auth/user/signup. La manipulación puede llevar a una restricción inadecuada de intentos excesivos de autenticación; el ataque es remoto, de alta complejidad y difícil explotación. El proveedor lo documenta como intencional y no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116121/tg:61235Mon, 26 Oct 2026 08:15:23 +0000VulnerabilidadUna vulnerabilidad en NocoDB hasta 2026.08.0 afecta un procesamiento no especificado del archivo users.service.ts, en el componente Registration. La manipulación provoca una condición de carrera; el ataque puede realizarse de forma remota, requiere alta complejidad y se evalúa como difícil de explotar. El proveedor no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116122/tg:61234Mon, 26 Oct 2026 08:15:22 +0000VulnerabilidadUna falla en NocoDB hasta 2026.07.0 afecta la función AuthService.validateUser del componente Sign-in Endpoint. La manipulación del argumento salt provoca exposición de información; el ataque es remoto, de alta complejidad y difícil explotación. El proveedor no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116119/tg:61204Mon, 26 Oct 2026 05:44:49 +0000VulnerabilidadEl flujo de restablecimiento de contraseña, en el archivo packages/nocodb/src/services/users/users.service.ts, presenta una condición de carrera. El ataque puede ejecutarse de forma remota. Afecta a NocoDB hasta 2026.08.0.