JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-015395 NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.39より前のコアデータベースパッケージにおいて、queryParentSQL()関数はパラメータ化されたクエリを使用せず、文字列連結でnodeIdsを結合し再帰的なCTEクエリを構築していました。nodeIds配列にはデータベースの行から読み取られた主キー値が含まれています。悪意のある文字列の主キーを持つレコードを作成できる攻撃者は、その後の任意のリクエストが該当コレクションでの再帰的イーガーロードをトリガーした際に任意のSQLをインジェクトできます。この問題はバージョン2.0.39で修正されました。 cpe:/a:nocobase:nocobase https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-015395.html Common Vulnerabilities and Exposures (CVE) CVE-2026-41640 https://www.cve.org/CVERecord?id=CVE-2026-41640 National Vulnerability Database (NVD) CVE-2026-41640 https://nvd.nist.gov/vuln/detail/CVE-2026-41640 GitHub SQL Injection via String Concatenation in Recursive Eager Loading Advisory nocobase/nocobase GitHub https://github.com/nocobase/nocobase/security/advisories/GHSA-4948-f92q-f432 JVNDB CWE-89 https://jvndb.jvn.jp/ja/cwe/CWE-89.html 関連文書 fix(database): parameterize recursive eager loading queries by 2013xile Pull Request #9133 nocobase/nocobase GitHub https://github.com/nocobase/nocobase/pull/9133 関連文書 Release v2.0.39 nocobase/nocobase GitHub https://github.com/nocobase/nocobase/releases/tag/v2.0.39 関連文書 fix(database): parameterize eager loading tree queries (#9133) nocobase/nocobase@202e2b8 GitHub https://github.com/nocobase/nocobase/commit/202e2b8efe44ba90adbf1087f6f70881ff947604 2026-05-14T10:19:02+09:00 2026-05-14T10:19:02+09:00