CVE-2026-35218是Budibase中存在的跨站脚本（XSS）漏洞。经过身份验证且具有Builder访问权限的用户可以创建包含HTML有效负载的表、自动化、视图或查询，当同一工作区中的任何Builder角色用户打开命令面板时，有效负载将在其浏览器中执行，从而窃取其会话cookie并实现完全帐户接管。该漏洞影响Budibase <= 3.32.5版本，已在3.32.5版本中修复。
Budibase的CVE-2026-35218允许具有Builder访问权限的经过身份验证的用户将恶意HTML注入到实体名称（表、视图、查询、自动化）中。在版本3.32.5之前，Budibase使用Svelte的{@html}指令在未进行适当清理的情况下渲染这些名称。这意味着攻击者可以创建一个包含HTML有效负载（例如，使用onerror属性执行JavaScript的<img>标签）的名称的实体。当同一工作区中的任何具有Builder角色的用户打开命令面板（Ctrl+K）时，此有效负载将执行，这可能导致敏感信息泄露、用户界面操作或更严重的情况下，在用户的浏览器中执行任意代码。CVSS严重性为8.7（高），表明存在重大风险。
具有Builder访问权限的攻击者可以通过创建包含恶意HTML有效负载的名称的实体（表、视图、查询或自动化）来利用此漏洞。此有效负载可能简单如弹出警报，或复杂如窃取Cookie或将用户重定向到恶意网站的脚本。一旦实体创建，任何具有Builder访问权限的用户打开命令面板（Ctrl+K）将执行有效负载。利用相对简单，不需要高级技术技能，从而增加了不同技能水平的攻击者利用的风险。缺乏用户输入清理是此漏洞的根本原因。
Organizations using Budibase for application development and deployment are at risk, particularly those with multiple users granted Builder access. Shared hosting environments where multiple Budibase instances are deployed on the same server could also be affected, as a compromise of one instance could potentially lead to lateral movement to others.
• nodejs / platform: Monitor Budibase logs for unusual JavaScript execution within the Command Palette.
grep -i 'onerror=alert' /var/log/budibase/app.log• nodejs / platform: Check for suspicious entities (tables, views, queries, automations) with unusual names containing HTML-like characters.
# Assuming you have access to the Budibase database
# Example query (adapt to your database schema)
SELECT name FROM entities WHERE name LIKE '%<img%' OR name LIKE '%<script%';• generic web: Monitor access logs for requests to the Command Palette endpoint with unusual parameters.
curl -I 'http://your-budibase-instance/command-palette?name=<script>alert(1)</script>'disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
此漏洞的解决方案是将Budibase升级到版本3.32.5或更高版本。此版本包含实体名称的适当清理，从而防止恶意HTML代码的执行。强烈建议尽快应用此更新以降低风险。此外，请检查现有实体是否存在可能在更新之前创建的可疑名称。对于无法立即更新的环境，请考虑将Builder访问限制为受信任的用户，并监控命令面板活动是否存在异常行为。Budibase发布了包含升级说明的详细发行说明。
Actualice Budibase a la versión 3.32.5 o superior. Esta versión corrige la vulnerabilidad XSS almacenada en la paleta de comandos del Builder. La actualización evitará la ejecución de código malicioso en el navegador de los usuarios con rol Builder.
漏洞分析和关键警报直接发送到您的邮箱。
Budibase是一个开源低代码平台，允许用户快速轻松地构建Web应用程序。
此漏洞可能允许攻击者在具有Builder访问权限的用户的浏览器中执行恶意代码。
您应该尽快将Budibase升级到版本3.32.5或更高版本。
将Builder访问限制为受信任的用户并监控命令面板活动可以帮助降低风险，但更新是最有效的解决方案。
您可以在Budibase的安全公告和CVE-2026-35218条目中找到更多信息。
CVSS 向量