CVE-2026-45719
Təsvir
Budibase açıq mənbəli low-code platformadır. 3.38.1 versiyasından əvvəl V1 Views API (POST /api/views) sorğu gövdəsindən gələn və təsdiqlənmədən birbaşa CouchDB reduce funksiyasının tərifinə daxil edilən calculation parametrini qəbul edir. Daxili SCHEMA_MAP obyekti etibarlı hesablama növlərini (sum, count, stats) müəyyən etsə də, dəyərdən sətir interpolasiyasında istifadə edilməzdən əvvəl bu xəritəyə qarşı heç bir real yoxlama aparılmır. Builder icazələrinə malik olan istifadəçi, görünüş sorğulandıqda CouchDB JavaScript mühərriki daxilində icra olunacaq ixtiyari JavaScript kodu inyeksiya edə bilər. Bu zəiflik 3.38.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- @budibase/server3.38.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @budibase/servernpm | v < 3.38.1 | 3.38.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.