CVE-2026-35218 in Budibase
الملخص
بحسب VulDB • 26/07/2026
Budibase هو منصة مفتوحة المصدر منخفضة الكود. قبل الإصدار 3.32.5، يعرض Budibase Builder Command Palette أسماء الكيانات (الجداول، والعروض، والاستعلامات، والأتمتة) باستخدام توجيه Svelte {@html} دون أي تعقيم. يمكن لمستخدم مُصادق عليه لديه وصول إلى دور "Builder" إنشاء جدول أو أتمتة أو عرض أو استعلام يحتوي اسمه على حمولة HTML (على سبيل المثال <script>alert(1)</script>). عند فتح لوحة الأوامر (Ctrl+K) من قبل أي مستخدم بدور Builder في نفس مساحة العمل، يتم تنفيذ الحمولة في متصفحه، مما يؤدي إلى سرقة ملف تعريف الارتباط الخاص بالجلسة وتمكين الاستيلاء الكامل على الحساب. تم إصلاح هذه المشكلة في الإصدار 3.32.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.