CVE-2026-25041

HIGH CVSS 4.0: 8,6 EPSS 0.08%
Обновлено 13 марта 2026
Budibase
Параметр Значение
CVSS 8,6 (HIGH)
Уязвимые версии до 3.23.22
Тип уязвимости CWE-78 (Внедрение команд ОС)
Поставщик Budibase
Публичный эксплойт Нет

Budibase — это платформа с низким кодом для создания внутренних инструментов, рабочих процессов и панелей администратора. В версии 3.23.22 и более ранних версиях интеграция PostgreSQL создает команды оболочки с использованием контролируемых пользователем значений конфигурации (имя базы данных, хост, пароль и т. д.) без надлежащей очистки. Пароль и другие параметры подключения напрямую интерполируются в команду оболочки.

Это влияет на пакеты/server/src/integrations/postgres.ts.

Показать оригинальное описание (EN)

Budibase is a low code platform for creating internal tools, workflows, and admin panels. In 3.23.22 and earlier, the PostgreSQL integration constructs shell commands using user-controlled configuration values (database name, host, password, etc.) without proper sanitization. The password and other connection parameters are directly interpolated into a shell command. This affects packages/server/src/integrations/postgres.ts.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Budibase Budibase
cpe:2.3:a:budibase:budibase:*:*:*:*:*:*:*:*
<= 3.23.22