CVE-2026-82244
KrytyczneCVSS 9.1Streszczenie
Budibase przed wersją 3.41.3 zawiera podatność na zdalne wykonanie kodu w obsłudze wtyczek, która pozwala uwierzytelnionym administratorom wykonać dowolny kod poprzez przesłanie złośliwego pakietu wtyczki. Serwer wywołuje eval() na plikach JavaScript wtyczki bez sandboxa w głównym procesie Node.js, umożliwiając atakującym kradzież zmiennych środowiskowych i poświadczeń z uprawnieniami roota w domyślnych instalacjach.
Ocena ryzyka
Administrator (lub osoba, która przejęła konto administratora) może wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj Budibase do wersji 3.41.3 lub nowszej i ogranicz zaufanie do wtyczek.
Oryginalny opis (angielski, źródło NVD)
Budibase versions before 3.41.3 contain a remote code execution vulnerability in plugin handling that allows authenticated admin users to execute arbitrary code by uploading a malicious plugin tarball. The server calls eval() on plugin JavaScript files without sandboxing in the main Node.js process, enabling attackers to exfiltrate environment variables and credentials with root privileges in default deployments.