CVE-2026-100683 in server
Tóm tắt
Bởi VulDB • 26/09/2026
Budibase (@budibase/server) trước phiên bản 3.45.0 tạo ra các lệnh DDL đổi tên cột MySQL và MSSQL trong packages/backend-core/src/sql/sqlTable.ts bằng cách nội suy trực tiếp các định danh vào một chuỗi truy vấn thô (được bao quanh bởi dấu backtick cho MySQL, hoặc là ký tự sp_rename được trích dẫn đơn cho MSSQL) mà không áp dụng các hàm trợ giúp quoteMySqlIdentifier / quoteSqlServerIdentifier của dự án. Một kẻ tấn công có quyền DDL trên nguồn dữ liệu MySQL/MSSQL đã kết nối có thể tạo ra một cột có tên chứa dấu backtick (MySQL) hoặc dấu nháy đơn (MSSQL) cùng với SQL bổ sung; việc khám phá lược đồ của Budibase lưu trữ tên này nguyên văn, và khi người dùng xây dựng ứng dụng trên Budibase sau đó đổi tên cột đó thông qua giao diện người dùng (POST /api/tables với _rename.old), ký tự nháy được chèn vào sẽ kết thúc định danh và SQL đã tiêm sẽ được thực thi. Vì kết nối MySQL được mở với multipleStatements: true, các lệnh truy vấn chồng lên nhau chạy dưới dạng người dùng nguồn dữ liệu của Budibase, cho phép đọc, ghi hoặc thực hiện các thao tác phá hủy tùy ý trên cơ sở dữ liệu đã kết nối bên ngoài mô hình quyền hàng/bảng của Budibase. Đã sửa trong phiên bản 3.45.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.