CVE-2026-25041

HIGH CVSS 4.0: 8,6
Обновлено 9 марта 2026
PostgreSQL
Параметр Значение
CVSS 8,6 (HIGH)
Тип уязвимости CWE-78 (OS Command Injection (Внедрение команд ОС))
Поставщик PostgreSQL
Публичный эксплойт Нет

Budibase — это платформа с низким кодом для создания внутренних инструментов, рабочих процессов и панелей администратора. В версии 3.23.22 и более ранних версиях интеграция PostgreSQL создает команды оболочки с использованием контролируемых пользователем значений конфигурации (имя базы данных, хост, пароль и т. д.) без надлежащей очистки. Пароль и другие параметры подключения напрямую интерполируются в команду оболочки.

Это влияет на пакеты/server/src/integrations/postgres.ts.

Показать оригинальное описание (EN)

Budibase is a low code platform for creating internal tools, workflows, and admin panels. In 3.23.22 and earlier, the PostgreSQL integration constructs shell commands using user-controlled configuration values (database name, host, password, etc.) without proper sanitization. The password and other connection parameters are directly interpolated into a shell command. This affects packages/server/src/integrations/postgres.ts.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0