CVE-2026-27702
KrytyczneStreszczenie
Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych i paneli administracyjnych. Przed wersją 3.30.4, podatność związana z niebezpiecznym użyciem `eval()` w implementacji filtrowania widoków pozwalała każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu JavaScript na serwerze. Podatność ta dotyczy wyłącznie Budibase Cloud (SaaS).
Ocena ryzyka
Podatność umożliwia dostęp do wrażliwych danych, takich jak klucze API i dane uwierzytelniające do bazy danych CouchDB, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 3.30.4 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy przeprowadzić audyt bezpieczeństwa środowiska oraz monitorować dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
Budibase is a low code platform for creating internal tools, workflows, and admin panels. Prior to version 3.30.4, an unsafe `eval()` vulnerability in Budibase's view filtering implementation allows any authenticated user (including free tier accounts) to execute arbitrary JavaScript code on the server. This vulnerability ONLY affects Budibase Cloud (SaaS) - self-hosted deployments use native CouchDB views and are not vulnerable. The vulnerability exists in `packages/server/src/db/inMemoryView.ts` where user-controlled view map functions are directly evaluated without sanitization. The primary impact comes from what lives inside the pod's environment: the `app-service` pod runs with secrets baked into its environment variables, including `INTERNAL_API_KEY`, `JWT_SECRET`, CouchDB admin credentials, AWS keys, and more. Using the extracted CouchDB credentials, we verified direct database access, enumerated all tenant databases, and confirmed that user records (email addresses) are readabl