Budibase: Builderコマンドパレットの{@html}でレンダリングされるサニタイズされていないエンティティ名を介した格納型XSS

BudibaseのCVE-2026-35218は、Builderアクセス権を持つ認証済みユーザーが、エンティティ名（テーブル、ビュー、クエリ、自動化）に悪意のあるHTMLを挿入することを可能にします。バージョン3.32.5より前は、BudibaseはSvelteの{@html}ディレクティブを使用して、これらの名前を適切にサニタイズせずにレンダリングしていました。これは、攻撃者がHTMLペイロード（<img>タグのonerror属性によるJavaScript実行など）を含む名前でエンティティを作成できることを意味します。同じワークスペースのBuilderロールを持つユーザーがCommand Palette（Ctrl+K）を開くと、このペイロードが実行され、機密情報の漏洩、UIの操作、またはより深刻なケースでは、ユーザーのブラウザで任意のコードが実行される可能性があります。CVSSの深刻度は8.7（高）であり、重大なリスクを示しています。

Organizations using Budibase for application development and deployment are at risk, particularly those with multiple users granted Builder access. Shared hosting environments where multiple Budibase instances are deployed on the same server could also be affected, as a compromise of one instance could potentially lead to lateral movement to others.

• nodejs / platform: Monitor Budibase logs for unusual JavaScript execution within the Command Palette.

grep -i 'onerror=alert' /var/log/budibase/app.log

• nodejs / platform: Check for suspicious entities (tables, views, queries, automations) with unusual names containing HTML-like characters.

# Assuming you have access to the Budibase database
# Example query (adapt to your database schema)
SELECT name FROM entities WHERE name LIKE '%<img%' OR name LIKE '%<script%';

• generic web: Monitor access logs for requests to the Command Palette endpoint with unusual parameters.

curl -I 'http://your-budibase-instance/command-palette?name=<script>alert(1)</script>'

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-03
3. EPSS 更新日2026-04-11

この脆弱性の解決策は、Budibaseをバージョン3.32.5以降にアップグレードすることです。このバージョンには、エンティティ名の適切なサニタイズが含まれており、悪意のあるHTMLコードの実行を防ぎます。リスクを軽減するために、できるだけ早くこのアップデートを適用することを強くお勧めします。さらに、アップデート前に作成された可能性のある疑わしい名前を持つ既存のエンティティを確認してください。即時アップデートが不可能な環境では、Builderアクセスを信頼できるユーザーに制限し、Command Paletteの活動を異常な動作がないか監視することを検討してください。Budibaseは、アップグレード手順を含む詳細なリリースノートを公開しています。