Budibase: Stored XSS via nomes de entidade não sanitizados renderizados com {@html} na Paleta de Comandos do Builder

Um atacante pode explorar esta vulnerabilidade criando uma entidade (tabela, view, query ou automação) com um nome que contenha um payload XSS. Quando qualquer usuário com permissão Builder no mesmo workspace abrir o Command Palette (Ctrl+K), o payload é executado no navegador do usuário, permitindo ao atacante roubar o cookie de sessão. Com o cookie de sessão em mãos, o atacante pode se autenticar como o usuário afetado, obtendo acesso total à sua conta e aos dados sensíveis contidos na aplicação Budibase. A exploração bem-sucedida pode levar à exfiltração de dados, modificação de configurações e até mesmo à tomada de controle completa do ambiente Budibase.

Organizations using Budibase for application development and deployment are at risk, particularly those with multiple users granted Builder access. Shared hosting environments where multiple Budibase instances are deployed on the same server could also be affected, as a compromise of one instance could potentially lead to lateral movement to others.

• nodejs / platform: Monitor Budibase logs for unusual JavaScript execution within the Command Palette.

grep -i 'onerror=alert' /var/log/budibase/app.log

• nodejs / platform: Check for suspicious entities (tables, views, queries, automations) with unusual names containing HTML-like characters.

# Assuming you have access to the Budibase database
# Example query (adapt to your database schema)
SELECT name FROM entities WHERE name LIKE '%<img%' OR name LIKE '%<script%';

• generic web: Monitor access logs for requests to the Command Palette endpoint with unusual parameters.

curl -I 'http://your-budibase-instance/command-palette?name=<script>alert(1)</script>'

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-03
3. EPSS atualizado2026-04-11

A mitigação primária é atualizar o Budibase para a versão 3.32.5 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais. Implementar uma política de segurança de conteúdo (CSP) rigorosa pode ajudar a mitigar o impacto de payloads XSS. Além disso, monitore os logs do Budibase em busca de atividades suspeitas, como a criação de entidades com nomes incomuns ou a execução de scripts não autorizados. A implementação de um Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS também pode ser eficaz.