CVE-2026-81335

Baserow 2.3.3 zawiera podatność na wstrzyknięcie SQL w funkcji formuły index(). Uwierzytelniony użytkownik z niskimi uprawnieniami, który może tworzyć lub modyfikować pola formuł, może podać nieudokumentowany czwarty argument, który jest traktowany jako szablon SQL i interpolowany bezpośrednio do wyrażenia PostgreSQL. Podatne wyrażenie jest wykonywane podczas przeliczania wartości pól formuł, a wstrzyknięty SQL wykonuje się z uprawnieniami roli PostgreSQL Baserow, a nie uprawnieniami uwierzytelnionego użytkownika aplikacji.

Baserow interpoluje nazwę wyświetlaną użytkownika do znaczników wzmianek w formacie bogatym bez kodowania HTML. PATCH /api/user/account/ przechowuje wartość first_name dosłownie, a renderer wzmianek w web-frontend/modules/core/editor/mention.js buduje swój element za pomocą literału szablonu, który umieszcza nazwę w atrybucie data-label i treści elementu bez escapowania. Nazwa zawierająca cudzysłów zamyka ten atrybut i otwierający tag, więc dalszy znacznik trafia do treści elementu. Wynik jest renderowany przez v-html przez komponenty pól bogatych, więc każda komórka bogata wspominająca konto wykonuje zapisany skrypt dla każdego członka przestrzeni roboczej, który widzi tabelę, bez kliknięcia. Każdy członek przestrzeni roboczej, na najniższym poziomie uprawnień, może ustawić nazwę i dotrzeć do każdego innego członka przestrzeni roboczej, a ładunek pozostaje, dopóki nazwa nie zostanie zmieniona lub wiersz ze wzmianką nie zostanie usunięty. Wersja 2.3.0 escapuje wartość przed interpolacją.

W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.

W systemie Baserow do wersji 2.3.2 stwierdzono podatność w funkcji verify w pliku views.py komponentu 2FA Verify Endpoint, która prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością. Problem został naprawiony w wersji 2.3.3.