CVE-2026-73617
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie NoSQL w integracji z MongoDB, gdzie parametry dostarczone przez użytkownika są wzbogacane za pomocą handlebars z noEscaping: true i parsowane bez filtrowania operatorów. Atakujący mogą wstrzyknąć operatory MongoDB przez parametry zapytania, aby ominąć kontrolę dostępu per użytkownik, odczytać dowolne dokumenty, wykonać JavaScript przez operatory $where lub modyfikować kolekcje przez operacje update i delete.
Ocena ryzyka
Atakujący może ominąć kontrolę dostępu, uzyskać dostęp do wrażliwych danych, wykonać kod JavaScript na serwerze bazy danych lub modyfikować dane, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.40.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Budibase before 3.40.0 contains a NoSQL injection vulnerability in the MongoDB datasource integration where user-supplied parameters are enriched with handlebars using noEscaping: true and parsed without operator filtering. Attackers can inject MongoDB operators through query parameters to bypass per-user access controls, read arbitrary documents, execute JavaScript via $where operators, or modify collections through update and delete operations.