CVE-2026-73408

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.39.18

Description No arquivo packages/server/src/integrations/mysql.ts, a aplicação habilita multipleStatements e insere um tableName não escapado em uma instrução DESCRIBE. Isso permite que um invasor que consiga criar uma tabela MySQL contendo uma crase e uma instrução empilhada em seu nome execute comandos arbitrários quando um administrador do Budibase realizar a descoberta do esquema. O problema é resolvido aplicando a função quoteMySqlIdentifier() antes de construir a consulta.

Recommendations Atualizar para a versão 3.39.18.