JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-015666 NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.37以前のNocoBaseのワークフローHTTPリクエストプラグインおよびカスタムリクエストアクションプラグインには、サーバー側でユーザー提供のURLにHTTPリクエストを行う際のSSRF保護がありません。認証済みユーザーは内部ネットワークサービス、クラウドメタデータエンドポイント、およびlocalhostにアクセス可能でした。バージョン2.0.37でこの問題は修正されています。 cpe:/a:nocobase:nocobase https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-015666.html Common Vulnerabilities and Exposures (CVE) CVE-2026-40346 https://www.cve.org/CVERecord?id=CVE-2026-40346 National Vulnerability Database (NVD) CVE-2026-40346 https://nvd.nist.gov/vuln/detail/CVE-2026-40346 GitHub SSRF in Workflow HTTP Request and Custom Request Plugins (CWE-918) Advisory nocobase/nocobase GitHub https://github.com/nocobase/nocobase/security/advisories/GHSA-mvvv-v22x-xqwp JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html 関連文書 fix(plugin-workflow-request): add server-request to package request s… nocobase/nocobase@2853368 GitHub https://github.com/nocobase/nocobase/commit/2853368243ed07339c62c548b7d475f4eeaada59 関連文書 fix(plugin-workflow-request): add server-request to package request security logic by mytharcher Pull Request #9079 nocobase/nocobase GitHub https://github.com/nocobase/nocobase/pull/9079 関連文書 Release v2.0.37 nocobase/nocobase GitHub https://github.com/nocobase/nocobase/releases/tag/v2.0.37 2026-05-15T11:01:23+09:00 2026-05-15T11:01:23+09:00