PT-2026-30193 · Budibase · Budibase

Da7Om85 · Publicado 2026-04-03 · Atualizado 2026-04-04 · CVE-2026-35218

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Budibase versões anteriores a 3.32.5

Description Budibase, uma plataforma de low-code de código aberto, apresentava uma falha crítica em seu Builder Command Palette. Antes da versão 3.32.5, os nomes das entidades (tabelas, visualizações, consultas, automações) eram renderizados usando a diretiva {@html} do Svelte sem a devida sanitização. Um usuário autenticado com acesso de Builder poderia criar uma entidade com um payload HTML malicioso (por exemplo, ) em seu nome. Quando outro usuário com a função Builder abrisse o Command Palette (Ctrl+K), esse payload seria executado em seu navegador, potencialmente roubando seu cookie de sessão e permitindo a tomada de controle total da conta.

Recommendations Atualize o Budibase para a versão 3.32.5 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-35218

Produtos afetados

Budibase

Referências · 8

• https://github.com/Budibase/budibase/security/advisories/GHSA-gp5x-2v54-v2q5 · Aviso do Fabricante
• https://github.com/Budibase/budibase/pull/18243 · Correção
• https://github.com/Budibase/budibase/releases/tag/3.32.5 · Nota
• https://github.com/Budibase/budibase/commit/c9ccf0c19e5849f1bda96401aa33f97c99cd8cd6 · Correção
• https://twitter.com/CVEnew/status/2040111815708017003 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2040338517474320658 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35218 · Nota de Segurança
• https://twitter.com/CveFindCom/status/2040123065196032271 · Publicação no Twitter