Budibase: Remote Code Execution via Unsafe eval() in View Filter Map Function (Budibase Cloud)

De impact van deze RCE-kwetsbaarheid is aanzienlijk. Een succesvolle exploitatie stelt een aanvaller in staat om willekeurige code uit te voeren met de privileges van de applicatie. Dit kan leiden tot het stelen van gevoelige data, het wijzigen van applicatieconfiguraties, het installeren van malware, of zelfs het overnemen van de gehele server. Aangezien de kwetsbaarheid zich in Budibase Cloud bevindt, kan een aanvaller toegang krijgen tot alle data en applicaties die in die omgeving worden gehost. De ernst van de impact wordt versterkt door het feit dat de kwetsbaarheid toegankelijk is voor geauthenticeerde gebruikers, inclusief gebruikers van de gratis tier, wat het aanvalsoppervlak aanzienlijk vergroot. De omgeving waarin de app-service pod draait, biedt verdere mogelijkheden voor misbruik.

Budibase Cloud users, particularly those on free tier accounts, are at immediate risk. Organizations relying on Budibase Cloud for critical applications or storing sensitive data are especially vulnerable. Shared hosting environments utilizing Budibase Cloud may also be at increased risk due to potential cross-tenant exploitation.

• nodejs / server: Monitor Budibase Cloud logs for unusual JavaScript execution patterns or errors related to view filtering. Use journalctl to filter for errors containing 'eval' or 'inMemoryView.ts'. • generic web: Inspect Budibase Cloud application logs for suspicious requests targeting view endpoints. Use curl to test view endpoints with potentially malicious map functions and observe the response for unexpected behavior. • database (mongodb): While the vulnerability isn't directly in MongoDB, monitor MongoDB logs for unusual activity originating from the Budibase Cloud application pods.

1. 2026-02-25Disclosure

   disclosure

1. Gereserveerd2026-02-23
2. Gepubliceerd2026-02-25
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar Budibase versie 3.30.4 of hoger, waarin de kwetsbaarheid is verholpen. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de rechten van geauthenticeerde gebruikers en het implementeren van strenge inputvalidatie op alle gebruikersinvoer die wordt gebruikt in view map functies. Het monitoren van applicatielogboeken op verdachte activiteiten, zoals ongebruikelijke JavaScript-code-uitvoering, is ook aan te raden. Het implementeren van een Web Application Firewall (WAF) met regels die het evalueren van gebruikersinvoer blokkeren, kan een extra beveiligingslaag bieden. Na de upgrade, verifieer de fix door een geauthenticeerde gebruiker te proberen willekeurige JavaScript-code uit te voeren via een view map functie.