PT-2026-71916
CVE-2026-73408
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-08-14
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Budibase الأقدم من 3.39.18
الوصف
في الملف
packages/server/src/integrations/mysql.ts، يقوم التطبيق بتمكين multipleStatements وإدراج tableName غير مُعَلَّم في عبارة DESCRIBE. وهذا يسمح للمهاجم الذي يمكنه إنشاء جدول MySQL يحتوي على علامة backtick وعبارة مكدسة في اسمه بتنفيذ أوامر تعسفية عندما يقوم مسؤول Budibase باكتشاف المخطط. يتم حل المشكلة من خلال تطبيق الدالة quoteMySqlIdentifier() قبل إنشاء الاستعلام.التوصيات
التحديث إلى الإصدار 3.39.18.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾