CVE-2026-73300
KrytyczneCVSS 9.6Streszczenie
Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.40.0 komponent integracji MySQL w Budibase jest skonfigurowany z multipleStatements: true, co umożliwia wykonanie wielu instrukcji SQL w jednym zapytaniu. Atakujący mogą wstrzykiwać złośliwe polecenia SQL przez pola wprowadzania danych użytkownika, co prowadzi do całkowitej kompromitacji bazy danych. Podatność została naprawiona w wersji 3.40.0.
Ocena ryzyka
Ryzyko dla organizacji to całkowita kompromitacja bazy danych, w tym możliwość kradzieży, modyfikacji lub usunięcia danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Budibase do wersji 3.40.0 lub nowszej oraz przegląd konfiguracji integracji MySQL pod kątem bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.40.0, the MySQL integration component in Budibase is configured with multipleStatements: true, enabling execution of multiple SQL statements in a single query. Attackers can inject malicious SQL commands through user input fields, leading to complete database compromise. This vulnerability is fixed in 3.40.0.