PT-2026-24106 · Budibase · Budibase
Omkarparth
·
Publicado
2026-03-09
·
Atualizado
2026-03-09
·
CVE-2026-25041
CVSS v4.0
8.6
Alta
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Budibase anteriores à 3.23.22
Descrição
O Budibase é uma plataforma low-code que permite aos usuários criar ferramentas internas, fluxos de trabalho e painéis administrativos. A integração do PostgreSQL dentro do Budibase constrói comandos shell usando valores de configuração controlados pelo usuário, como nome do banco de dados, host e senha, sem a sanitização adequada. Especificamente, a senha e outros parâmetros de conexão são diretamente interpolados em um comando shell dentro do arquivo
packages/server/src/integrations/postgres.ts (linhas 529-531). Um atacante que possa controlar esses valores de configuração do banco de dados pode injetar comandos shell. Por exemplo, manipular os parâmetros password (senha) ou database name (nome do banco de dados) poderia permitir execução arbitrária de código, comprometimento do sistema e exfiltração de dados. O código vulnerável constrói um comando shell usando template literals, incorporando diretamente o valor this.config.password na variável de ambiente PGPASSWORD.Recomendações
Versões anteriores à 3.23.22 devem ser atualizadas.
Use variáveis de ambiente para valores sensíveis em vez de argumentos de linha de comando.
Valide e faça a sanitização de todos os valores de configuração.
Use escape adequado para argumentos shell.
Considere usar a funcionalidade nativa de dump da biblioteca PostgreSQL em vez de comandos shell.
Use
execFile com tratamento adequado de argumentos, conforme mostrado no exemplo de correção, para evitar injeção de shell.Exploit
Correção
Command Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Budibase