CVE-2026-72851
KrytyczneCVSS 10.0Streszczenie
Budibase przed wersją 3.40.0 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w automatyzacjach wyzwalanych webhookiem z krokami EXECUTE_QUERY. Atakujący może wysłać JSON do endpointu webhooka, aby wstrzyknąć ładunki SQL wykonujące się z poświadczeniami bazy danych skonfigurowanymi przez buildera, umożliwiając eksfiltrację, modyfikację i trwałość danych w połączonych źródłach danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych w połączonych bazach danych, co prowadzi do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj Budibase do wersji 3.40.0, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Budibase before 3.40.0 contains an unauthenticated SQL injection vulnerability in webhook-triggered automations with EXECUTE_QUERY steps. Attackers can POST attacker-controlled JSON to the webhook trigger endpoint to inject SQL payloads that execute with builder-configured database credentials, enabling data exfiltration, modification, and persistence in connected datasources like Snowflake.