CVE-2026-27702 in budibase
Riassunto
di VulDB • 06/07/2026
Budibase è una piattaforma low code per la creazione di strumenti interni, flussi di lavoro e pannelli di amministrazione. Prima della versione 3.30.4, una vulnerabilità unsafe `eval()` nell'implementazione del filtraggio delle viste di Budibase consente a qualsiasi utente autenticato (inclusi gli account del piano gratuito) di eseguire codice JavaScript arbitrario sul server. Questa vulnerabilità interessa SOLO Budibase Cloud (SaaS); le distribuzioni self-hosted utilizzano native CouchDB views e non sono vulnerabili. La vulnerabilità è presente in `packages/server/src/db/inMemoryView.ts`, dove le funzioni map delle viste controllate dall'utente vengono valutate direttamente senza sanitizzazione. L'impatto principale deriva da ciò che risiede nell'ambiente del pod: il pod `app-service` viene eseguito con segreti incorporati nelle sue variabili di ambiente, tra cui `INTERNAL_API_KEY`, `JWT_SECRET`, credenziali di amministratore CouchDB, chiavi AWS e altro ancora. Utilizzando le credenziali CouchDB estratte, è stato verificato l'accesso diretto al database, sono stati enumerati tutti i database dei tenant ed è stato confermato che i record degli utenti (indirizzi email) sono leggibili. La versione 3.30.4 contiene una patch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.