CVE-2026-100683

3.45.0 öncesindeki Budibase (@budibase/server), packages/backend-core/src/sql/sqlTable.ts dosyasında MySQL ve MSSQL sütun yeniden adlandırma DDL ifadelerini oluştururken, projenin quoteMySqlIdentifier / quoteSqlServerIdentifier yardımcılarını uygulamadan tanımlayıcıları doğrudan ham bir sorgu dizesine ekleyerek (MySQL için ters tırnak ile çevrelenmiş, MSSQL için tek tırnaklı sp_rename literatürü şeklinde) oluşturmaktadır. Bağlı bir MySQL/MSSQL veri kaynağında DDL haklarına sahip bir saldırgan, adı ters tırnak (MySQL) veya tek tırnak (MSSQL) ile birlikte ek SQL içeren bir sütun oluşturabilir; Budibase'in şema iç gözlemi bu adı olduğu gibi saklar ve daha sonra bir Budibase oluşturucusu kullanıcı arayüzü üzerinden (POST /api/tables ve _rename.old ile) bu sütunu yeniden adlandırdığında, gömülü tırnak karakteri tanımlayıcıyı sonlandırır ve enjekte edilen SQL yürütülür. MySQL bağlantısı multipleStatements: true ile açıldığından, üst üste yığılmış ifadeler Budibase'in veri kaynağı kullanıcısı olarak çalıştırılır ve bağlı veritabanı üzerinde Budibase'in satır/tablo izin modeli dışında rastgele okuma, yazma veya yıkıcı işlemler yapılmasına olanak tanır. 3.45.0 sürümünde düzeltildi.