CVE-2026-35218
Təsvir
Budibase açıq mənbəli low-code platformadır. Versiya 3.32.5-dən əvvəl Budibase-in Builder Command Palette hissəsi entitet adlarını (cədvəllər, görüntülər, sorğular, avtomatlaşdırmalar) heç bir təmizləmə prosesi olmadan Svelte-in {@html} direktivindən istifadə edərək render edir. Builder girişinə malik autentifikasiya olunmuş istifadəçi, adı HTML faydalı yükü (məsələn, <img src=x onerror=alert(document.domain)>) ehtiva edən cədvəl, avtomatlaşdırma, görüntü və ya sorğu yarada bilər. Eyni iş sahəsində olan hər hansı bir Builder roluna malik istifadəçi Command Palette-i (Ctrl+K) açdıqda, faydalı yük onların brauzerində icra olunur, sessiya kukiləri oğurlanır və hesabın tamamilə ələ keçirilməsi təmin edilir. Bu problem versiya 3.32.5-də aradan qaldırılmışdır.
Necə düzəltmək olar
- budibase budibase3.32.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| budibase budibase | v < 3.32.5 | 3.32.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.