📄 Description (English)
NocoDB is software for building databases as spreadsheets. Prior to version 0.301.3, rich text cell content rendered via v-html without sanitization enables stored XSS. This issue has been patched in version 0.301.3.
🤖 AI Executive Summary
NocoDB versions prior to 0.301.3 contain a stored cross-site scripting (XSS) vulnerability in rich text cell rendering due to unsanitized v-html usage. This allows authenticated attackers to inject malicious scripts that execute in other users' browsers when viewing affected cells. While CVSS is moderate (5.4), the stored nature and potential for lateral movement in collaborative environments elevates risk for Saudi organizations using NocoDB for data management.
📄 Description (Arabic)
🤖 AI Intelligence Analysis Analyzed: May 28, 2026 00:20
🇸🇦 Saudi Arabia Impact Assessment
Saudi organizations in financial services, government agencies, healthcare, and energy sectors using NocoDB for internal database management face elevated risk. Banking institutions and SAMA-regulated entities are particularly vulnerable if NocoDB is used for collaborative financial data management. Government agencies under NCA oversight using NocoDB for internal operations could face data integrity and confidentiality breaches. Healthcare organizations managing patient data and energy sector companies managing operational databases are at risk of unauthorized access and data manipulation through stored XSS attacks.
🏢 Affected Saudi Sectors
Banking and Financial Services
Government and Public Administration
Healthcare and Medical Services
Energy and Utilities
Telecommunications
Education and Research
Manufacturing and Industrial
🎯 MITRE ATT&CK Techniques
⚖️ Saudi Risk Score (AI)
6.2
/ 10.0
🔧 Remediation Steps (English)
Immediate Actions:
1. Identify all NocoDB instances in your environment and document their versions
2. Restrict access to NocoDB to trusted internal networks only; disable external access if possible
3. Implement Web Application Firewall (WAF) rules to detect and block XSS payloads in cell content
4. Review audit logs for suspicious cell modifications or script-like content entries
Patching Guidance:
1. Upgrade NocoDB to version 0.301.3 or later immediately when available
2. If immediate patching is not possible, disable rich text cell functionality or restrict it to trusted administrators only
3. Test patches in non-production environments before deployment
Compensating Controls:
1. Implement Content Security Policy (CSP) headers to restrict script execution
2. Use browser-based security extensions to block inline scripts
3. Enforce principle of least privilege for NocoDB user accounts
4. Implement input validation at the application level to sanitize cell content
5. Monitor for suspicious JavaScript patterns in database entries
Detection Rules:
1. Alert on cell modifications containing script tags, event handlers (onclick, onload), or JavaScript protocol handlers
2. Monitor for unusual access patterns to NocoDB administrative functions
3. Log and review all rich text cell content modifications
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية:
1. حدد جميع مثيلات NocoDB في بيئتك وقم بتوثيق إصداراتها
2. قيد الوصول إلى NocoDB على الشبكات الداخلية الموثوقة فقط؛ عطّل الوصول الخارجي إن أمكن
3. طبّق قواعد جدار حماية تطبيقات الويب (WAF) للكشف عن حقن XSS وحجبها في محتوى الخلايا
4. راجع سجلات التدقيق للتعديلات المريبة على الخلايا أو إدخالات تشبه النصوص البرمجية
إرشادات التصحيح:
1. قم بترقية NocoDB إلى الإصدار 0.301.3 أو أحدث فوراً عند توفره
2. إذا لم يكن التصحيح الفوري ممكناً، عطّل وظيفة خلايا النصوص الغنية أو قيدها على المسؤولين الموثوقين فقط
3. اختبر التصحيحات في بيئات غير الإنتاج قبل النشر
الضوابط البديلة:
1. طبّق رؤوس سياسة أمان المحتوى (CSP) لتقييد تنفيذ النصوص البرمجية
2. استخدم امتدادات الأمان المستندة إلى المتصفح لحجب النصوص البرمجية المضمنة
3. فرض مبدأ الامتياز الأقل لحسابات مستخدمي NocoDB
4. طبّق التحقق من صحة الإدخال على مستوى التطبيق لتنظيف محتوى الخلايا
5. راقب الأنماط المريبة للجافا سكريبت في إدخالات قاعدة البيانات
قواعد الكشف:
1. تنبيهات على تعديلات الخلايا التي تحتوي على علامات النصوص البرمجية أو معالجات الأحداث (onclick, onload) أو معالجات بروتوكول JavaScript
2. راقب أنماط الوصول غير العادية إلى وظائف إدارة NocoDB
3. سجّل وراجع جميع تعديلات محتوى خلايا النصوص الغنية
📋 Regulatory Compliance Mapping
🟢 NCA ECC 2024
ECC 2024 A.14.2.1 - Information security requirements for third-party services
ECC 2024 A.14.2.5 - Restrictions on access to information assets
ECC 2024 A.12.2.1 - User access management and authorization
ECC 2024 A.12.4.1 - Event logging and monitoring
🔵 SAMA CSF
SAMA CSF ID.BE-3 - Organizational resilience and risk management
SAMA CSF PR.AC-1 - Access control and identity management
SAMA CSF PR.PT-1 - Security awareness and training
SAMA CSF DE.CM-1 - Detection and monitoring of security events
🟡 ISO 27001:2022
ISO 27001:2022 A.5.15 - Access control
ISO 27001:2022 A.8.22 - Web application security
ISO 27001:2022 A.8.32 - Change management
ISO 27001:2022 A.12.4.1 - Event logging
🟣 PCI DSS v4.0.1
PCI DSS 6.5.7 - Cross-site scripting prevention
PCI DSS 6.2 - Security patches and updates
PCI DSS 10.2 - User access logging and monitoring
📦 Affected Products / CPE 1 entries
nocodb:nocodb