CVE-2026-73618
WysokieCVSS 8.3Streszczenie
Budibase Server przed wersją 3.40.0 zawiera podatność na wstrzyknięcie NoSQL w punkcie końcowym wykonywania zapytań MongoDB, gdzie parametry dostarczone przez użytkownika są interpolowane do szablonów zapytań JSON bez odpowiedniego oczyszczania metaznaków JSON. Atakujący z uprawnieniami do zapisu zapytań mogą wstrzyknąć znaki strukturalne JSON, aby zmienić zapytania MongoDB, omijając filtry i odczytując, modyfikując lub usuwając dowolne dokumenty.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych, modyfikować je lub usuwać, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się aktualizację Budibase Server do wersji 3.40.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Budibase Server before 3.40.0 contains a NoSQL injection vulnerability in the MongoDB query execution endpoint where user-supplied parameters are interpolated into JSON query templates without proper sanitization of JSON metacharacters. Attackers with query write permission can inject JSON structural characters to alter MongoDB queries, bypassing filters to read, modify, or delete arbitrary documents.