CVE-2022-22121highCWE-1236

CVE-2022-22121: fallo de gravedad alta en nocodb

NocoDB - CSV Injection in User Management

Publicada el · Actualizada el

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8epss 1.2%
probabilidad de explotación
1.2%top 33% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

NocoDB permite que atacantes inyecten código malicioso en archivos CSV a través de datos de tablas. Cuando un administrador exporta y abre el archivo en una aplicación de hojas de cálculo, el código se ejecuta automáticamente.

Detalle técnico

Vulnerabilidad de inyección CSV en NocoDB 0.81.0–0.83.8 permite que usuarios con bajo privilegio inyecten payloads de fórmula en filas de tablas. Cuando administradores exportan datos de gestión de usuarios como CSV y los abren en aplicaciones de hojas de cálculo, las fórmulas se ejecutan con privilegios de administrador, posibilitando ejecución arbitraria de código o exfiltración de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.
In NocoDB, versions 0.81.0 through 0.83.8 are affected by CSV Injection vulnerability (Formula Injection). A low privileged attacker can create a new table to inject payloads in the table rows. When an administrator accesses the User Management endpoint and exports the data as a CSV file and opens it, the payload gets executed.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Productos afectados
nocodb · nocodb
CVEs relacionadas — nocodb

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-22120MEDIUMNocoDB - Observable Discrepancy in the password-reset featureEPSS 1.4%CVE-2023-43794MEDIUMSQL Injection in nocodbEPSS 0.8%CVE-2026-28358LOWNocoDB: User Enumeration via Password Reset EndpointEPSS 0.7%CVE-2025-27506MEDIUMNocoDB Vulnerable to Reflected Cross-Site Scripting on Reset Password PageEPSS 0.7%CVE-2023-50718MEDIUMNocoDB SQL Injection vulnerabilityEPSS 0.7%CVE-2023-49781HIGHNocoDB Vulnerable to Stored Cross-Site Scripting in Formula.vueEPSS 0.6%
Referencias
https://github.com/nocodb/nocodb/commit/079e3abehttps://www.whitesourcesoftware.com/vulnerability-database/CVE-2022-22121