CVE-2026-27702: Injeção de código no Budibase Cloud via eval() inseguro em filtro de views

Visão geral

O Budibase é uma plataforma low code para ferramentas internas, fluxos de trabalho e painéis administrativos. Segundo o aviso de segurança do GitHub, uma implementação de filtragem de views avalia funções de mapeamento fornecidas pelo usuário com eval(), sem sanitização. A fraqueza é classificada como CWE-94 (Injeção de Código) e o aviso indica que afeta apenas o Budibase Cloud.

Impacto

Qualquer usuário autenticado, inclusive de contas gratuitas, pode conseguir executar JavaScript arbitrário no servidor, segundo o aviso.
O aviso afirma que o ambiente do app-service contém segredos, incluindo chaves de API interna, de assinatura de sessão e credenciais de banco de dados, que poderiam ser expostos por execução de código no servidor.
O pesquisador afirma ter verificado acesso ao banco de dados e legibilidade de endereços de e-mail de usuários. O aviso não informa se dados reais foram acessados.

Produtos e versões afetados

Budibase Cloud (SaaS) anteriores à versão 3.30.4.
O aviso indica que implantações self-hosted, que usam views nativas do CouchDB, não são vulneráveis.
A correção é referenciada na versão 3.30.4 e no commit 348659810cf930dda5f669e782706594c547115d.

Status de exploração

O CISA KEV não lista este CVE no registro, portanto não há exploração ativa confirmada nas fontes consultadas.
O campo de exploração SSVC do registro está no nível de prova de conceito. Isso descreve material técnico disponível, e não ataques observados.
A probabilidade EPSS é 0,00641, com percentil 0,5011, datada de 2026-10-23.

Correção e mitigação

Confirme que a implantação do Budibase Cloud usa a versão 3.30.4 ou posterior. Em SaaS, isso normalmente é feito pelo fornecedor, então clientes devem verificar as comunicações ou o status do serviço.
Operadores self-hosted devem verificar se utilizam o mecanismo de views afetado; o aviso indica que não são vulneráveis.
Inferência: se houver suspeita de exposição dos segredos citados no aviso, a rotação após confirmar a correção é uma precaução razoável.
Inferência: limite quais contas podem criar ou alterar definições de views e revise contas que não precisam de funcionalidades elevadas.

Orientações de detecção

Revise os logs de auditoria da aplicação para criação ou alteração de views por usuários inesperados ou sem necessidade operacional.
Revise os logs de acesso do CouchDB em busca de atividade administrativa que não corresponda à operação normal.
Monitore o ambiente do app-service em busca de conexões de saída ou comportamento de processos inesperados.

Limitações das informações disponíveis

O registro não informa a versão afetada mais antiga, por isso o limite inferior do intervalo vulnerável é desconhecido.
O NVD atribui pontuação base CVSS de 9,0, enquanto a pontuação do provedor GitHub no registro é 9,9; ambas são informadas aqui sem escolher uma.
As alegações de prova de conceito do aviso são relatadas pelo fornecedor e não foram verificadas de forma independente aqui.
O registro não informa se houve algum comprometimento em produção.
A data do EPSS no registro é posterior à data de publicação, então sua temporalidade deve ser interpretada com cautela.

Perguntas frequentes

O Budibase self-hosted é afetado pelo CVE-2026-27702?

O aviso indica que implantações self-hosted, que usam views nativas do CouchDB, não são vulneráveis. Somente o Budibase Cloud é descrito como afetado.

Qual versão corrige o problema?

O registro referencia a versão 3.30.4 como contendo a correção, e o intervalo afetado é descrito como anterior à 3.30.4.

Há exploração ativa conhecida desta vulnerabilidade?

O CISA KEV não lista este CVE no registro, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.