MEDIUM🇬🇧 English

CVE-2026-40346

CVSS 6.4v4.0pub. 2026-04-18upd. 2026-05-13

NocoBase to platforma no-code/low-code wspierana sztuczną inteligencją do tworzenia aplikacji biznesowych i rozwiązań dla przedsiębiorstw. Przed wersją 2.0.37 wtyczki workflow HTTP request i custom request action w NocoBase wykonują żądania HTTP po stronie serwera do adresów URL podanych przez użytkownika bez jakiejkolwiek ochrony przed SSRF. Uwierzytelniony użytkownik może uzyskać dostęp do usług sieci wewnętrznej, punktów końcowych metadanych chmury i localhost. Wersja 2.0.37 zawiera poprawkę.

▸ Pokaż oryginał (EN)

NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to version 2.0.37, NocoBase's workflow HTTP request plugin and custom request action plugin make server-side HTTP requests to user-provided URLs without any SSRF protection. An authenticated user can access internal network services, cloud metadata endpoints, and localhost. Version 2.0.37 contains a patch.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X