CVE-2026-35218 in Budibase
Tóm tắt
Bởi VulDB • 25/07/2026
Budibase là một nền tảng low-code mã nguồn mở. Trước phiên bản 3.32.5, Bảng lệnh Builder của Budibase hiển thị tên các thực thể (bảng, chế độ xem, truy vấn, tự động hóa) bằng cách sử dụng chỉ thị {@html} của Svelte mà không có bất kỳ quá trình kiểm tra/tẩy rửa nào (sanitization). Một người dùng đã xác thực với quyền Builder có thể tạo một bảng, quy tắc tự động hóa, chế độ xem hoặc truy vấn có tên chứa mã độc HTML (ví dụ: <script>alert(1)</script>). Khi bất kỳ người dùng nào đóng vai trò Builder trong cùng không gian làm việc mở Bảng lệnh (Ctrl+K), đoạn mã độc sẽ được thực thi trên trình duyệt của họ, đánh cắp cookie phiên và cho phép chiếm quyền kiểm soát tài khoản hoàn toàn. Vấn đề này đã được vá trong phiên bản 3.32.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.