CVE-2026-54350

Resumo

Budibase é uma plataforma open-source de low-code. Antes da versão 3.39.12, um visitante não autenticado de qualquer aplicativo Budibase publicado lê todos os documentos do MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL ou coleção REST-com-corpo-JSON de suporte e, quando o builder publicou uma consulta de escrita PÚBLICA, modifica todos os documentos dessa coleção com uma única solicitação HTTP. enrichContext em packages/server/src/sdk/workspace/queries/queries.ts:121-138 substitui valores de parâmetros no corpo JSON bruto de uma consulta e, em seguida, faz JSON.parse do resultado. O validador validateQueryInputs em packages/server/src/api/controllers/query/index.ts:61-71 rejeita apenas marcadores Handlebars ({{, }}) na entrada do usuário e não escapa metacaracteres JSON (", \, }). Um valor de parâmetro contendo aspas de fechamento e chaves adicionais eleva campos controlados pelo atacante para dentro do objeto de filtro analisado. Para find do Mongo, o filtro analisado é passado diretamente para collection.find() (packages/server/src/integrations/mongodb.ts:506-510). A análise JSON de chave duplicada sobrescreve o {name: "..."} do builder com {name: {$exists: true}} e retorna todos os documentos. A mesma primitiva contra uma consulta updateMany (mongodb.ts:577-585) amplia o escopo do filtro para a coleção inteira enquanto o corpo $set controlado pelo builder é executado contra todos os documentos correspondentes. O middleware autorizado em packages/server/src/middleware/authorized.ts:141-148 faz curto-circuito quando o papel da consulta é PÚBLICO. CSRF não é aplicado nesse caminho. POST /api/v2/queries/:queryId (packages/server/src/api/routes/query.ts:63) aceita a chamada sem sessão, apenas com um cabeçalho x-budibase-app-id que é público a partir da URL do aplicativo publicado. Essa vulnerabilidade é corrigida na versão 3.39.12.

• CVE-2026-54350-Budibase-NoSQL-InjectionPoC