NocoDB: SQL Injection via Column Title in Bulk GroupBy
Summary
An authenticated user with column-create permission can inject SQL into the bulk groupBy endpoint by setting a column's title to a SQL fragment.
Details
The bulk groupBy path in group-by.ts builds three database-specific knex.raw()
aggregations that interpolate the request's column_name directly into the SQL string.
Column lookup in data-table.service.ts matches on both the sanitized column_name
field and the free-text title, so a title containing a SQL fragment bypasses the
public endpoint's existing column allowlist and reaches the query builder unescaped.
Impact
SQL injection against the connected database with read access to any expression an attacker can place in a column title. Exploitation requires an authenticated session with permission to create or rename columns.
Credit
This issue was reported by @geo-chen.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | nocodb | < 2026.05.1 | 2026.05.1 |
Verweise
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-89- Plattform
- npm
- Paket
nocodb- Veröffentlicht
- 05.06.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-p8wx-5f39-w3x4 - CC BY 4.0
Schwachstellenhistorie: nocodb
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 54
- Erste → letzte
- 06.2022 06.2026
- Ohne Fix
- 13
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 7
- Mittel 41
- Niedrig 6
Veröffentlichungen pro Jahr
- 2022: 5
- 2023: 2
- 2024: 3
- 2025: 1
- 2026: 43
-
NocoDB: SQL Injection via Column Title in Bulk GroupBy dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.