CVE-2026-54350: Budibase: leitura e escrita de dados sem autenticação via consultas PUBLIC

Visão geral

O aviso descreve uma falha no Budibase, plataforma low-code de código aberto, em que valores de parâmetros de consultas são inseridos em um corpo JSON bruto e depois analisados sem escape adequado. Consultas marcadas com o papel PUBLIC podem ser acessadas sem sessão por meio de um app publicado, o que torna a falha alcançável por visitantes não autenticados. O registro indica que o problema foi corrigido na 3.39.12.

Impacto

Segundo o registro, um visitante não autenticado poderia ler todos os documentos da coleção de dados de apoio da consulta afetada, em integrações com MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL e REST-with-JSON-body.
Quando o criador publicou uma consulta de escrita PUBLIC, o registro afirma que a coleção poderia ser modificada com uma única requisição HTTP.
A NVD atribui pontuação base CVSS 3.1 de 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e a pontuação do CNA do GitHub no registro é 10.

Produtos e versões afetados

Budibase Budibase, versões anteriores à 3.39.12, conforme a entrada de afetados do registro.
O registro não traz campo de versão corrigida, mas a descrição informa que a vulnerabilidade foi corrigida na 3.39.12.

Status de exploração

O CVE não consta na lista KEV da CISA. Nas fontes consultadas não há exploração confirmada no mundo real. A referência do aviso no GitHub tem a etiqueta Exploit nos metadados do registro, o que por si só não confirma que houve exploração nem que existe código de exploração público.

Correção e mitigação

Atualize o Budibase para a versão 3.39.12 ou posterior, conforme informa a descrição do aviso.
Enquanto a atualização não ocorrer, revise quais consultas em apps publicados usam o papel PUBLIC e restrinja-as a papéis autenticados quando a necessidade de negócio permitir.
Avalie se consultas de escrita PUBLIC são realmente necessárias e remova ou limite essas consultas.
Consulte o aviso de segurança no GitHub para orientações do fornecedor.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições não autenticadas ao endpoint de execução de consultas em apps publicados, especialmente volumes incomuns ou chamadas a consultas com capacidade de escrita.
Audite os bancos de dados de apoio em busca de leituras ou alterações em massa inesperadas no período anterior à atualização.
Compare a lista de consultas com papel PUBLIC com a configuração esperada para identificar exposição.

Limitações das informações disponíveis

O registro não informa um limite inferior das versões afetadas.
O campo CWE estruturado indica CWE-89 (Injeção de SQL), enquanto a descrição trata de construção de JSON sem escape; o registro não explica essa correspondência.
O título estava nulo no registro e não há detalhes de exploração além da descrição.
Não se sabe se existe código de exploração público ou se algum ambiente foi comprometido.

Perguntas frequentes

Quais versões do Budibase são afetadas pelo CVE-2026-54350?

O registro indica como afetadas as versões do Budibase anteriores à 3.39.12, e a descrição informa que a vulnerabilidade foi corrigida na 3.39.12.

Esta vulnerabilidade exige login?

Segundo o registro, a requisição é aceita sem sessão, usando apenas o cabeçalho com o identificador público do app a partir da URL de um app publicado, então não se descreve login como necessário. A superfície de ataque depende de o criador ter exposto uma consulta com papel PUBLIC.

Há exploração ativa conhecida deste CVE?

Não. A CISA não o lista no catálogo KEV e nas fontes consultadas não há exploração confirmada no mundo real.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.