CVE-2026-48149 in budibase
要約
〜によって VulDB • 2026年05月28日
Budibase はオープンソースのローコードプラットフォームです。バージョン 3.39.0 より前では、Budibase の Text コンポーネントは、サニタイザーなしで `marked.parse(markdown)` の結果を直接 `innerHTML` に割り当てることでマークダウンをレンダリングしていました (packages/bbui/src/Markdown/MarkdownViewer.svelte:22)。Markdown モードで Text コンポーネントにバインドされる任意の列は、基盤となるテーブルに対して WRITE 権限を持つすべての BASIC アプリケーションユーザーによって書き込み可能な格納型 XSS (Stored-XSS) のシンクとなります。この脆弱性はバージョン 3.39.0 で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.