CVE-2026-54350

概要

Budibaseはオープンソースのローコードプラットフォームです。3.39.12より前のバージョンでは、公開されたBudibaseアプリへの未認証の訪問者は、バックエンドのMongoDB、CouchDB、Elasticsearch、DynamoDB-PartiQL、またはREST-with-JSON-bodyコレクションのすべてのドキュメントを読み取ることができ、ビルダーがPUBLIC書き込みクエリを公開している場合には、1回のHTTPリクエストでそのコレクションのすべてのドキュメントを変更することができます。packages/server/src/sdk/workspace/queries/queries.ts:121-138のenrichContextは、パラメータ値をクエリの生のJSONボディに代入し、その結果をJSON.parseします。packages/server/src/api/controllers/query/index.ts:61-71のバリデータvalidateQueryInputsは、ユーザー入力内のHandlebarsマーカー({{, }})のみを拒否し、JSONメタ文字(", \, })をエスケープしません。閉じ引用符と追加のキーを含むパラメータ値は、攻撃者が制御するフィールドをパースされたフィルタオブジェクトに持ち込みます。Mongoのfindの場合、パースされたフィルタはcollection.find() (packages/server/src/integrations/mongodb.ts:506-510)に直接渡されます。重複キーによるJSONパースは、ビルダーの{name: "..."}を{name: {$exists: true}}で上書きし、すべてのドキュメントを返します。updateManyクエリ (mongodb.ts:577-585)に対する同じプリミティブは、フィルタのスコープをコレクション全体に拡大し、ビルダーが制御する$set本体が、マッチしたすべてのドキュメントに対して実行されます。packages/server/src/middleware/authorized.ts:141-148のauthorizedミドルウェアは、クエリのロールがPUBLICの場合に短絡します。このパスではCSRFは強制されません。POST /api/v2/queries/:queryId (packages/server/src/api/routes/query.ts:63)は、セッションなしで、公開されたアプリのURLから取得できる公開のx-budibase-app-idヘッダーのみで呼び出しを受け入れます。この脆弱性は3.39.12で修正されています。

• CVE-2026-54350-Budibase-NoSQL-InjectionPoC

  CVE-2026-54350 の PoC — Budibase の認証不要の NoSQL オペレーターインジェクション（CVSS 10.0）。公開クエリを介して任意のドキュメントコレクションの読み取り/一括書き込みが可能。