Plateforme
nodejs
Composant
budibase
Corrigé dans
3.32.6
La vulnérabilité CVE-2026-35218 affecte Budibase, une plateforme low-code open-source. Avant la version 3.32.5, le Command Palette du Builder ne traitait pas correctement les noms d'entités, permettant l'exécution de code HTML malveillant. Cette faille permet à un utilisateur authentifié d'injecter une charge utile XSS, compromettant potentiellement l'ensemble du compte. La version 3.32.5 corrige cette vulnérabilité.
La vulnérabilité CVE-2026-35218 dans Budibase permet à un utilisateur authentifié disposant d'un accès au Builder d'injecter du code HTML malveillant dans les noms d'entités (tables, vues, requêtes, automatisations). Avant la version 3.32.5, Budibase utilise la directive {@html} de Svelte pour rendre ces noms sans une sanitisation appropriée. Cela signifie qu'un attaquant peut créer une entité avec un nom contenant une charge utile HTML, comme une balise <img> avec un attribut onerror qui exécute du JavaScript. Lorsque tout utilisateur disposant du rôle Builder dans le même espace de travail ouvre le Command Palette (Ctrl+K), cette charge utile sera exécutée, ce qui pourrait entraîner la divulgation d'informations sensibles, la manipulation de l'interface utilisateur ou, dans des cas plus graves, l'exécution de code arbitraire dans le navigateur de l'utilisateur. La sévérité CVSS est de 8,7 (Élevée), ce qui indique un risque important.
Un attaquant disposant d'un accès au Builder peut exploiter cette vulnérabilité en créant une entité (table, vue, requête ou automatisation) avec un nom contenant une charge utile HTML malveillante. Cette charge utile pourrait être aussi simple qu'une alerte pop-up ou aussi complexe qu'un script qui vole des cookies ou redirige l'utilisateur vers un site Web malveillant. Une fois l'entité créée, tout utilisateur disposant d'un accès au Builder qui ouvre le Command Palette (Ctrl+K) exécutera la charge utile. L'exploitation est relativement simple et ne nécessite pas de compétences techniques avancées, ce qui augmente le risque qu'elle soit exploitée par des attaquants de différents niveaux de compétence. L'absence de sanitisation des entrées utilisateur est la cause première de la vulnérabilité.
Organizations using Budibase for application development and deployment are at risk, particularly those with multiple users granted Builder access. Shared hosting environments where multiple Budibase instances are deployed on the same server could also be affected, as a compromise of one instance could potentially lead to lateral movement to others.
• nodejs / platform: Monitor Budibase logs for unusual JavaScript execution within the Command Palette.
grep -i 'onerror=alert' /var/log/budibase/app.log• nodejs / platform: Check for suspicious entities (tables, views, queries, automations) with unusual names containing HTML-like characters.
# Assuming you have access to the Budibase database
# Example query (adapt to your database schema)
SELECT name FROM entities WHERE name LIKE '%<img%' OR name LIKE '%<script%';• generic web: Monitor access logs for requests to the Command Palette endpoint with unusual parameters.
curl -I 'http://your-budibase-instance/command-palette?name=<script>alert(1)</script>'disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 9%)
CISA SSVC
Vecteur CVSS
La solution à cette vulnérabilité consiste à mettre à niveau Budibase vers la version 3.32.5 ou supérieure. Cette version inclut une sanitisation appropriée des noms d'entités, empêchant l'exécution de code HTML malveillant. Il est fortement recommandé d'appliquer cette mise à niveau dès que possible pour atténuer le risque. De plus, examinez les entités existantes à la recherche de noms suspects qui pourraient avoir été créés avant la mise à niveau. Pour les environnements où une mise à niveau immédiate n'est pas possible, envisagez de limiter l'accès au Builder aux utilisateurs de confiance et de surveiller l'activité du Command Palette à la recherche de comportements anormaux. Budibase a publié des notes de publication détaillées avec des instructions de mise à niveau.
Actualice Budibase a la versión 3.32.5 o superior. Esta versión corrige la vulnerabilidad XSS almacenada en la paleta de comandos del Builder. La actualización evitará la ejecución de código malicioso en el navegador de los usuarios con rol Builder.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Budibase est une plateforme low-code open source qui permet aux utilisateurs de créer rapidement et facilement des applications Web.
Cette vulnérabilité pourrait permettre à un attaquant d'exécuter du code malveillant dans le navigateur d'un utilisateur disposant d'un accès au Builder.
Vous devez mettre à niveau Budibase vers la version 3.32.5 ou supérieure dès que possible.
Limiter l'accès au Builder aux utilisateurs de confiance et surveiller l'activité du Command Palette peut aider à atténuer le risque, mais la mise à niveau est la solution la plus efficace.
Vous pouvez trouver plus d'informations dans l'avis de sécurité de Budibase et l'entrée CVE-2026-35218.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.