CVE-2026-72853
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie SQL w łączniku Oracle, w wyszukiwaniu wierszy po zapisie, gdzie nazwy tabel nie są poprawnie escapowane. Atakujący z uprawnieniami zapisu na tabeli z cudzysłowem w nazwie może wstrzyknąć SQL, który wykona się jako użytkownik bazy danych, umożliwiając odczyt lub modyfikację dowolnych danych.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych i możliwość ich modyfikacji w bazie Oracle, co może prowadzić do naruszenia integralności i poufności danych.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.40.0 lub nowszej, aby wyeliminować podatność na wstrzyknięcie SQL.
Oryginalny opis (angielski, źródło NVD)
Budibase before 3.40.0 contains a SQL injection vulnerability in the Oracle datasource connector's post-write row lookup that fails to escape table names in identifiers. Attackers with write permission on a table with a double-quote in its name can inject SQL that executes as the datasource's database user to read or modify arbitrary data.