原文

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.39より前のコアデータベースパッケージにおいて、queryParentSQL()関数はパラメータ化されたクエリを使用せず、文字列連結でnodeIdsを結合し再帰的なCTEクエリを構築していました。nodeIds配列にはデータベースの行から読み取られた主キー値が含まれています。悪意のある文字列の主キーを持つレコードを作成できる攻撃者は、その後の任意のリクエストが該当コレクションでの再帰的イーガーロードをトリガーした際に任意のSQLをインジェクトできます。この問題はバージョン2.0.39で修正されました。