NocoDB: SQL Injection via Column Title in Bulk GroupBy
Summary
An authenticated user with column-create permission can inject SQL into the bulk groupBy endpoint by setting a column's title to a SQL fragment.
Details
The bulk groupBy path in group-by.ts builds three database-specific knex.raw()
aggregations that interpolate the request's column_name directly into the SQL string.
Column lookup in data-table.service.ts matches on both the sanitized column_name
field and the free-text title, so a title containing a SQL fragment bypasses the
public endpoint's existing column allowlist and reaches the query builder unescaped.
Impact
SQL injection against the connected database with read access to any expression an attacker can place in a column title. Exploitation requires an authenticated session with permission to create or rename columns.
Credit
This issue was reported by @geo-chen.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | nocodb | < 2026.05.1 | 2026.05.1 |
Referencias
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-89- Plataforma
- npm
- Paquete
nocodb- Publicada
- 05.06.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-p8wx-5f39-w3x4 - CC BY 4.0
Historial de vulnerabilidades: nocodb
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 54
- Primera → última
- 06.2022 06.2026
- Sin corrección
- 13
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 7
- Media 41
- Baja 6
Divulgaciones por año
- 2022: 5
- 2023: 2
- 2024: 3
- 2025: 1
- 2026: 43
-
NocoDB: SQL Injection via Column Title in Bulk GroupBy esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.