CVE-2026-100683

3.45.0 versiyasından əvvəlki Budibase (@budibase/server), packages/backend-core/src/sql/sqlTable.ts faylında MySQL və MSSQL sütun adının dəyişdirilməsi üçün olan DDL sorğularını layihənin quoteMySqlIdentifier / quoteSqlServerIdentifier köməkçi funksiyalarını tətbiq etmədən, identifikatorları birbaşa xam sorğu sətrinə interpolasiya edərək qurur (MySQL üçün geri dırnaqla, MSSQL üçün isə tək dırnaqlı sp_rename literalı ilə). Qoşulmuş MySQL/MSSQL məlumat mənbəyində DDL hüquqlarına malik olan hücumçu, adı geri dırnaq (MySQL) və ya tək dırnaq (MSSQL) və əlavə SQL kodu ehtiva edən sütun yarada bilər; Budibase-in sxem introspeksiyası bu adı olduğu kimi saxlayır və daha sonra Budibase builder həmin sütunu istifadəçi interfeysi vasitəsilə yenidən adlandırdıqda (POST /api/tables _rename.old parametri ilə), daxil edilmiş dırnaq simvolu identifikatoru sonlandırır və inyeksiya edilmiş SQL kodu icra olunur. MySQL bağlantısı multipleStatements: true parametrləri ilə açıldığı üçün, ardıcıl ifadələr Budibase-in məlumat mənbəyi istifadəçisi kimi işləyir ki, bu da qoşulmuş verilənlər bazasında Budibase-in sətir/cədvəl icazə modelindən kənar ixtiyari oxuma, yazma və ya dağıdıcı əməliyyatların yerinə yetirilməsinə şərait yaradır. Problem 3.45.0 versiyasında düzəldilib.