CVE-2026-73618
CVE-2026-73618 · Budibase Server before 3.40.0 NoSQL Injection via JSON Parameter
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Budibase Server before 3.40.0 contains a NoSQL injection vulnerability in the MongoDB query execution endpoint where user-supplied parameters are interpolated into JSON query templates without proper sanitization of JSON metacharacters. Attackers with query write permission can inject JSON structural characters to alter MongoDB queries, bypassing filters to read, modify, or delete arbitrary documents.
CVSS 8.7 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
server
- Версии
- ≥ 0, < 3.40.0: Затронуто (semver)
- 3.40.0: Не затронуто (semver)
Обновитесь до 3.40.0
@budibase/server npm
- Затронутые диапазоны версий
- SEMVER: ≤ 3.38.1
Нет опубликованного исправления