CVE-2026-19754
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Baserow 2.3.3 zawiera podatność na wstrzyknięcie SQL w funkcji formuły index(). Uwierzytelniony użytkownik z niskimi uprawnieniami, który może tworzyć lub modyfikować pola formuł, może podać nieudokumentowany czwarty argument, który jest traktowany jako szablon SQL i interpolowany bezpośrednio do wyrażenia PostgreSQL. Podatne wyrażenie jest wykonywane podczas przeliczania wartości pól formuł, a wstrzyknięty SQL wykonuje się z uprawnieniami roli PostgreSQL Baserow, a nie uprawnieniami uwierzytelnionego użytkownika aplikacji.
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL z uprawnieniami bazy danych, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w całej bazie danych Baserow.
Rekomendacja
Zaktualizuj Baserow do wersji, która zawiera poprawkę, oraz ogranicz uprawnienia do tworzenia pól formuł tylko dla zaufanych użytkowników.
Inne podatności w Baserow
Zobacz wszystkie- CVE-2026-81335Wysokie
Baserow wysyła źródło danych Application Builder bez sprawdzania wyniku kontroli uprawnień. Widoki dispatch i record-name są zadeklarowane z klasą uprawnień, która dopuszcza każdego wywołującego, a kontrola uprawnień nie powoduje przerwania wykonania. Nieuwierzytelnione żądanie może otrzymać wiersze i pola ze źródła danych, a identyfikatory są małymi liczbami całkowitymi, które można enumerować. Wersja 2.3.1 przekazuje raise_exception do tego samego wywołania.
- CVE-2026-76837Średnie
Baserow interpoluje nazwę wyświetlaną użytkownika do znaczników wzmianek w formacie bogatym bez kodowania HTML. PATCH /api/user/account/ przechowuje wartość first_name dosłownie, a renderer wzmianek w web-frontend/modules/core/editor/mention.js buduje swój element za pomocą literału szablonu, który umieszcza nazwę w atrybucie data-label i treści elementu bez escapowania. Nazwa zawierająca cudzysłów zamyka ten atrybut i otwierający tag, więc dalszy znacznik trafia do treści elementu. Wynik jest renderowany przez v-html przez komponenty pól bogatych, więc każda komórka bogata wspominająca konto wykonuje zapisany skrypt dla każdego członka przestrzeni roboczej, który widzi tabelę, bez kliknięcia. Każdy członek przestrzeni roboczej, na najniższym poziomie uprawnień, może ustawić nazwę i dotrzeć do każdego innego członka przestrzeni roboczej, a ładunek pozostaje, dopóki nazwa nie zostanie zmieniona lub wiersz ze wzmianką nie zostanie usunięty. Wersja 2.3.0 escapuje wartość przed interpolacją.
- CVE-2026-18817Niskie
W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.
- CVE-2026-18816Średnie
W systemie Baserow do wersji 2.3.2 stwierdzono podatność w funkcji verify w pliku views.py komponentu 2FA Verify Endpoint, która prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością. Problem został naprawiony w wersji 2.3.3.
Oryginalny opis (angielski, źródło NVD)
Baserow 2.3.3 contains a SQL injection vulnerability in the index() formula function. A low-privileged authenticated user who can create or modify formula fields can provide an undocumented fourth argument that is treated as a SQL template and interpolated directly into a PostgreSQL expression. The vulnerable expression is executed when Baserow recalculates formula field values. Because the generated SQL runs through Baserow's database connection, the injected SQL executes with the privileges of the Baserow PostgreSQL role rather than the permissions of the authenticated application user. This issue affects Baserow: 2.3.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS