CVE-2026-54350

Budibase açıq mənbəli low-code platformadır. 3.39.12 versiyasından əvvəl, dərc edilmiş hər hansı Budibase tətbiqinə autentifikasiya olunmamış ziyarətçi arxa plandakı MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL və ya REST-with-JSON-body kolleksiyasının bütün sənədlərini oxuya bilir və qurucu tərəfindən PUBLIC yazı sorğusu dərc edildiyi təqdirdə, bir HTTP sorğusu ilə həmin kolleksiyanın bütün sənədlərini dəyişdirə bilir. packages/server/src/sdk/workspace/queries/queries.ts:121-138 faylındakı enrichContext funksiyası parametr dəyərlərini sorğunun xam JSON gövdəsinə yerləşdirir, sonra nəticəni JSON.parse ilə analiz edir. packages/server/src/api/controllers/query/index.ts:61-71 faylındakı validateQueryInputs validatoru istifadəçi girişində yalnız Handlebars markerlərini ({{, }}) rədd edir və JSON metasimlollarını (", \, }) ekranlaşdırmır. Bağlayıcı dırnaq işarəsi və əlavə açarlar ehtiva edən parametr dəyəri hücumçu tərəfindən idarə olunan sahələri analiz edilmiş filtr obyektinə daxil edir. Mongo find üçün analiz edilmiş filtr birbaşa collection.find()-ə ötürülür (packages/server/src/integrations/mongodb.ts:506-510). Təkrarlanan açarlı JSON analizi qurucunun {name: "..."} hissəsini {name: {$exists: true}} ilə əvəz edir və bütün sənədləri qaytarır. Eyni primitiv updateMany sorğusuna qarşı tətbiq edildikdə (mongodb.ts:577-585), filtr dairəsini bütün kolleksiyaya genişləndirir, bu zaman qurucu tərəfindən idarə olunan $set gövdəsi uyğun gələn hər bir sənəd üzərində icra edilir. packages/server/src/middleware/authorized.ts:141-148 faylındakı authorized middleware-i sorğunun rolu PUBLIC olduqda prosesi dayandırır. Bu yolda CSRF tətbiq edilmir. POST /api/v2/queries/:queryId (packages/server/src/api/routes/query.ts:63) çağırışı sessiya olmadan, yalnız dərc edilmiş tətbiq URL-indən əldə edilən açıq x-budibase-app-id başlığı ilə qəbul edir. Bu zəiflik 3.39.12 versiyasında düzəldilmişdir.