Budibase: बिल्डर कमांड पैलेट में {@html} के साथ प्रस्तुत अनसैनिटाइज्ड इकाई नामों के माध्यम से स्टोर्ड XSS

Budibase में CVE-2026-35218 एक प्रमाणित उपयोगकर्ता को बिल्डर एक्सेस के साथ एंटिटी नामों (टेबल, व्यू, क्वेरी, ऑटोमेशन) में दुर्भावनापूर्ण HTML इंजेक्ट करने की अनुमति देता है। संस्करण 3.32.5 से पहले, Budibase ने Svelte के {@html} निर्देश का उपयोग इन नामों को उचित सैनिटाइजेशन के बिना प्रस्तुत करने के लिए किया था। इसका मतलब है कि एक हमलावर एक HTML पेलोड (जैसे, onerror विशेषता के साथ <img> टैग के माध्यम से JavaScript निष्पादित करना) युक्त नाम के साथ एक एंटिटी बना सकता है। जब एक ही वर्कस्पेस में कोई भी बिल्डर-रोल उपयोगकर्ता कमांड पैलेट (Ctrl+K) खोलता है, तो यह पेलोड निष्पादित होगा, जिससे संवेदनशील जानकारी का प्रकटीकरण, UI मैनिपुलेशन या अधिक गंभीर मामलों में, उपयोगकर्ता के ब्राउज़र में मनमाना कोड निष्पादित हो सकता है। CVSS गंभीरता 8.7 (उच्च) है, जो एक महत्वपूर्ण जोखिम दर्शाता है।

Organizations using Budibase for application development and deployment are at risk, particularly those with multiple users granted Builder access. Shared hosting environments where multiple Budibase instances are deployed on the same server could also be affected, as a compromise of one instance could potentially lead to lateral movement to others.

• nodejs / platform: Monitor Budibase logs for unusual JavaScript execution within the Command Palette.

grep -i 'onerror=alert' /var/log/budibase/app.log

• nodejs / platform: Check for suspicious entities (tables, views, queries, automations) with unusual names containing HTML-like characters.

# Assuming you have access to the Budibase database
# Example query (adapt to your database schema)
SELECT name FROM entities WHERE name LIKE '%<img%' OR name LIKE '%<script%';

• generic web: Monitor access logs for requests to the Command Palette endpoint with unusual parameters.

curl -I 'http://your-budibase-instance/command-palette?name=<script>alert(1)</script>'

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-03
3. EPSS अद्यतन2026-04-11

इस भेद्यता के लिए समाधान Budibase को संस्करण 3.32.5 या उच्चतर में अपग्रेड करना है। इस संस्करण में एंटिटी नामों का उचित सैनिटाइजेशन शामिल है, जो दुर्भावनापूर्ण HTML कोड के निष्पादन को रोकता है। जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपडेट से पहले बनाए गए किसी भी संदिग्ध नामों के लिए मौजूदा एंटिटीज की जांच करें। उन वातावरणों के लिए जहां तत्काल अपडेट संभव नहीं है, बिल्डर एक्सेस को विश्वसनीय उपयोगकर्ताओं तक सीमित करने और कमांड पैलेट गतिविधि की निगरानी असामान्य व्यवहार के लिए करने पर विचार करें। Budibase ने अपग्रेड निर्देशों के साथ विस्तृत रिलीज़ नोट्स प्रकाशित किए हैं।