CVE-2026-100683 in server
Zusammenfassung
von VulDB • 26.09.2026
In Budibase (@budibase/server) vor Version 3.45.0 werden MySQL- und MSSQL-DDL-Befehle zur Umbenennung von Spalten im Paket `packages/backend-core/src/sql/sqlTable.ts` erstellt, indem Bezeichner direkt in eine rohe Abfragezeichenfolge interpoliert werden (für MySQL mit Backticks zitiert, für MSSQL als einzelnes Zitat umgebenes sp_rename-Literal), ohne die Hilfsfunktionen des Projekts `quoteMySqlIdentifier` / `quoteSqlServerIdentifier` anzuwenden. Ein Angreifer mit DDL-Berechtigungen auf einem verbundenen MySQL-/MSSQL-Datenquell-Objekt kann eine Spalte erstellen, deren Name ein Backtick (MySQL) oder einfaches Hochkomma (MSSQL) sowie zusätzlichen SQL-Code enthält. Die Schema-Introspektion von Budibase speichert den Namen unverändert ab, und wenn ein Budibase-Benutzer diese Spalte später über die Benutzeroberfläche umbenennt (POST /api/tables mit _rename.old), beendet das eingebettete Zitatzeichen den Bezeichner, und der injizierte SQL-Code wird ausgeführt. Da die MySQL-Verbindung mit `multipleStatements: true` geöffnet wird, werden gestapelte Anweisungen als Benutzer der Datenquelle von Budibase ausgeführt, was beliebige Lese-, Schreib- oder zerstörerische Operationen auf der verbundenen Datenbank außerhalb des Zeilen-/Tabellenberechtigungsmodells von Budibase ermöglicht. Behoben in Version 3.45.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.