NocoDB: Stored Cross-Site Scripting via Row Comments
Summary
An authenticated commenter could store HTML in row comments that executed as script when other users hovered over the comment in the expanded form view.
Details
The comment write paths persisted the raw comment body with no server-side sanitisation;
the expanded-form sidebar then rendered the stored body and fed its data-tooltip
attribute to Tippy with allowHTML: true. Even when the editor stripped script tags
at write time, attribute-level payloads re-entered the DOM as live HTML on hover.
Impact
Stored Cross-Site Scripting against any user who views the affected row. Script runs in
the NocoDB origin with the victim's session and can read the auth JWT from
localStorage. Authentication and comment permission are required.
Credit
This issue was reported by @DavidCarliez. It was independently reported by @Mouhebbenelwafi.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | nocodb | < 2026.05.1 | 2026.05.1 |
Referencias
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
nocodb- Publicada
- 05.06.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-jf3g-4gwg-4h66 - CC BY 4.0
Historial de vulnerabilidades: nocodb
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 54
- Primera → última
- 06.2022 06.2026
- Sin corrección
- 13
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 7
- Media 41
- Baja 6
Divulgaciones por año
- 2022: 5
- 2023: 2
- 2024: 3
- 2025: 1
- 2026: 43
-
NocoDB: Stored Cross-Site Scripting via Row Comments esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.