CVE-2026-100683 in server
الملخص
بحسب VulDB • 26/09/2026
تحتوي الإصدارات السابقة من Budibase (@budibase/server) قبل الإصدار 3.45.0 على ثغرة حقن SQL في عمليات إعادة تسمية أعمدة قواعد بيانات MySQL و MSSQL (DDL). يتم بناء استعلامات DDL هذه داخل الحزمة `packages/backend-core/src/sql/sqlTable.ts` عن طريق دمج المعرفات مباشرةً في سلسلة الاستعلام الخام (مع وضع علامات حولها باستخدام الفاصلة العلوية لـ MySQL، أو استخدام حرف sp_rename المفرد الاقتباس لـ MSSQL) دون تطبيق أدوات المساعدة الخاصة بالمشروع مثل `quoteMySqlIdentifier` و `quoteSqlServerIdentifier`. يمكن لمهاجم يمتلك صلاحيات DDL على مصدر بيانات متصل يعمل بنظام MySQL/MSSQL إنشاء عمود يحتوي اسمه على فاصلة علوية (في حالة MySQL) أو علامة اقتباس مفردة (في حالة MSSQL)، بالإضافة إلى كود SQL إضافي. تقوم آلية استكشاف مخطط Budibase بتخزين الاسم كما هو حرفياً، وعندما يقوم مستخدم Budibase بإعادة تسمية هذا العمود لاحقاً عبر واجهة المستخدم (POST /api/tables مع _rename.old)، فإن رمز الاقتباس المدمج ينهي المعرف ويتم تنفيذ SQL المُحقن. ونظراً لأن اتصال MySQL يُفتح بخاصية `multipleStatements: true`، تعمل العبارات المتراكمة بصلاحيات مستخدم مصدر بيانات Budibase، مما يتيح عمليات قراءة وكتابة أو تدمير تعسفية على قاعدة البيانات المتصلة خارج نموذج صلاحيات الصفوف/الجداول الخاص بـ Budibase. تم إصلاح الثغرة في الإصدار 3.45.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.