JVNDB-2026-021670

budibaseにおける複数の脆弱性

Budibaseはオープンソースのローコードプラットフォームです。バージョン3.39.12以前では、認証されていない訪問者が公開された任意のBudibaseアプリにアクセスすると、MongoDB、CouchDB、Elasticsearch、DynamoDB-PartiQL、REST-with-JSON-bodyコレクションの全ドキュメントを取得できます。ビルダーがPUBLICの書き込みクエリを公開している場合、単一のHTTPリクエストで該当コレクション内の全ドキュメントを変更できます。packages/server/src/sdk/workspace/queries/queries.tsの121から138行目にあるenrichContext関数は、クエリの生JSONボディにパラメータ値を埋め込み、その後JSON.parseを実行します。packages/server/src/api/controllers/query/index.tsの61から71行目にあるvalidateQueryInputsバリデーターはユーザー入力のHandlebarsマーカー（{{,}）のみを拒否し、JSONメタキャラクター（", \,}）のエスケープはできません。終了クオートおよび追加キーを含むパラメータ値によって、攻撃者制御のフィールドが解析済みフィルターオブジェクトに挿入されます。MongoDBのfind関数は解析済みフィルターを直接collection.find()に渡します（packages/server/src/integrations/mongodb.tsの506から510行目）。重複キーを含むJSON解析により、ビルダーの{"name":"..."}は{"name":{"$exists":true}}に上書きされ、全ドキュメントが返されます。同様のプリミティブはupdateManyクエリ（mongodb.tsの577から585行目）に用いられ、フィルターの範囲はコレクション全体に拡大し、ビルダー制御の$setボディは、一致した全ドキュメントに適用されます。packages/server/src/middleware/authorized.tsの141から148行目にある認可ミドルウェアは、クエリロールがPUBLICの場合に処理を中断し、この経路ではCSRF保護が強制されません。POST /api/v2/queries/:queryId（packages/server/src/api/routes/query.tsの63行目）はセッションなしで呼び出しを受け入れ、公開済みアプリURLのx-budibase-app-idヘッダーのみを使用します。この脆弱性はバージョン3.39.12で修正されました。

budibase

• budibase 3.39.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Anonymous NoSQL operator injection via published-app query templates  Advisory  Budibase/budibase  GitHub

1. SQLインジェクション(CWE-89) [その他]
2. データクエリロジックの特殊要素の不適切な中立化(CWE-943) [その他]

1. CVE-2026-54350

1. National Vulnerability Database (NVD) : CVE-2026-54350

• [2026年07月01日]
    掲載