CVE-2026-100683 in server
要約
〜によって VulDB • 2026年09月26日
Budibase (@budibase/server) のバージョン 3.45.0 より前では、MySQL および MSSQL のカラム名変更 DDL が packages/backend-core/src/sql/sqlTable.ts で生成されますが、識別子が生のクエリ文字列に直接補間されています（MySQL ではバックティックで囲まれ、MSSQL ではシングルクォートで囲まれた sp_rename リテラル）。プロジェクトの quoteMySqlIdentifier / quoteSqlServerIdentifier ヘルパー関数が適用されていません。接続された MySQL/MSSQL データソースに対して DDL 権限を持つ攻撃者は、バックティック（MySQL）またはシングルクォーテーション（MSSQL）と追加の SQL を含む名前のカラムを作成できます。Budibase のスキーマインスペクションは名前をそのまま保存し、後で Budibase ビルダーが UI（POST /api/tables with _rename.old）を通じてそのカラムの名前を変更すると、埋め込まれたクォート文字が識別子を終了させ、注入された SQL が実行されます。MySQL 接続は multipleStatements: true で開かれているため、スタックされたステートメントは Budibase のデータソースユーザーとして実行され、Budibase の行/テーブルの権限モデルの外で接続されたデータベースに対して任意の読み取り、書き込み、または破壊的な操作が可能になります。3.45.0 で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.