PT-2026-71445 · Budibase+1 · Budibase+1
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Budibase versões anteriores a 3.40.0
Description
Um problema de injeção NoSQL existe na integração da fonte de dados MongoDB. O problema ocorre porque os parâmetros fornecidos pelo usuário são processados usando handlebars com
noEscaping: true e são analisados sem a filtragem de operadores. Isso permite que atacantes injetem operadores MongoDB por meio de parâmetros de consulta para ignorar controles de acesso por usuário, ler documentos arbitrários, executar JavaScript via operadores $where ou modificar coleções por meio de operações de atualização e exclusão.Recommendations
Atualize o Budibase para a versão 3.40.0 ou posterior.
Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Budibase
Mongodb