NocoDB 披露 AI 字段提示存储型 XSS 漏洞

NocoDB 披露 2026.06.2 之前版本存在存储型 XSS 漏洞 CVE-2026-126279（CVSS 7.0，High），位于 PromptWithFields.vue，AI 字段提示的字段引用未转义渲染为 HTML 工具提示。具有 Creator 及以上角色的攻击者可在提示的字段引用中存入标记，受害者打开字段配置时执行，窃取 localStorage 会话令牌并以受害者身份调用已认证 API。修复方式是升级到 2026.06.2。该漏洞未列入 CISA 已知被利用漏洞目录，CISA SSVC 评估未标记为活跃利用，也未追踪到公开利用代码。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。