CVE-2026-100683 in server
Sumário
de VulDB • 26/09/2026
O Budibase (@budibase/server) anterior à versão 3.45.0 gera DDL de renomeação de colunas MySQL e MSSQL em packages/backend-core/src/sql/sqlTable.ts, interpolando identificadores diretamente na string da consulta raw (entre crases para MySQL, literal sp_rename entre aspas simples para MSSQL) sem aplicar os auxiliares quoteMySqlIdentifier / quoteSqlServerIdentifier do projeto. Um atacante com direitos DDL em um datasource MySQL/MSSQL conectado pode criar uma coluna cujo nome contenha uma crase (MySQL) ou aspa simples (MSSQL), além de SQL adicional; a introspecção de esquema do Budibase armazena o nome literalmente, e quando um construtor do Budibase renomeia posteriormente essa coluna pela interface do usuário (POST /api/tables com _rename.old), o caractere de cota embutido encerra o identificador e o SQL injetado é executado. Como a conexão MySQL é aberta com multipleStatements: true, instruções empilhadas são executadas como o usuário datasource do Budibase, permitindo leituras arbitrárias, gravações ou operações destrutivas no banco de dados conectado fora do modelo de permissão por linha/tabela do Budibase. Corrigido na versão 3.45.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.