CVE-2026-72851: Injeção de SQL no Budibase via webhook sem autenticação (anterior à 3.40.0)
As versões do Budibase anteriores à 3.40.0 contêm uma falha de injeção de SQL sem autenticação em automações acionadas por webhook que utilizam etapas EXECUTE_QUERY, conforme relatado pela VulnCheck. O registro indica severidade crítica, com pontuação base 10, e nenhuma exploração confirmada aparece nas fontes consultadas. Como o intervalo afetado termina em 3.40.0, a atualização para essa versão ou posterior e a revisão de automações expostas por webhook e das fontes de dados conectadas é o caminho defensivo recomendado.
Visão geral
A CVE-2026-72851 descreve um problema de injeção de SQL sem autenticação no Budibase anterior à 3.40.0. A falha afeta automações acionadas por webhook que contêm etapas EXECUTE_QUERY. A fraqueza é classificada como CWE-89 (Injeção de SQL), conforme registrado pela CNA VulnCheck.
Impacto
A descrição informa que o SQL injetado é executado com as credenciais de banco de dados configuradas pelo construtor. As consequências citadas incluem exfiltração de dados, modificação de dados e persistência em fontes de dados conectadas, como o Snowflake. O registro indica pontuação base 10 e lista alto impacto em confidencialidade, integridade e disponibilidade no vetor fornecido pelo fornecedor.
Produtos e versões afetados
- Budibase Server anterior à 3.40.0
- O registro não traz uma entrada separada de versão corrigida; o limite do intervalo afetado é a 3.40.0.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível afirmar exploração ativa confirmada com base nas fontes consultadas. O campo SSVC do registro indica nível de exploração de prova de conceito e que o problema é automatizável, o que é um sinal de risco e não evidência de ataques em circulação. A probabilidade EPSS no registro é baixa.
Correção e mitigação
- Planeje a atualização do Budibase para a versão 3.40.0 ou posterior, verificando o aviso do fornecedor para a versão corrigida oficial.
- Até a correção, restrinja a exposição dos endpoints de gatilho de webhook que alimentam etapas EXECUTE_QUERY, por exemplo com controles de rede e camadas de autenticação na frente do serviço.
- Revise as credenciais de banco de dados usadas pelas automações e aplique o princípio do menor privilégio, limitando leitura e escrita ao necessário para cada automação.
- Audite as fontes de dados conectadas, como o Snowflake, em busca de alterações ou padrões de acesso inesperados.
Orientações de detecção
- Analise logs do servidor web e da aplicação em busca de requisições incomuns aos endpoints de webhook, principalmente requisições sem autenticação com conteúdo inesperado.
- Monitore logs de auditoria do banco de dados em busca de consultas originadas de contas de serviço do Budibase que fujam do comportamento normal das automações.
- Gere alertas para alterações de esquema ou leituras em massa realizadas pelas credenciais de serviço das automações.
Limitações das informações disponíveis
O registro não lista explicitamente uma versão corrigida, então a versão com correção é inferida a partir do intervalo afetado. O registro tem status de fonte Deferred e os detalhes de CVSS são fornecidos pela CNA e por um provedor adicional. Nenhuma nota de correção do fornecedor foi incluída no registro. Detalhes do caminho de código vulnerável, das condições necessárias de disparo e das configurações específicas afetadas não estão disponíveis no registro.
Perguntas frequentes
O que é a CVE-2026-72851?
É uma vulnerabilidade de injeção de SQL sem autenticação no Budibase anterior à 3.40.0, que afeta automações acionadas por webhook com etapas EXECUTE_QUERY.
Há exploração ativa conhecida?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O que administradores devem fazer agora?
Planejar a atualização para o Budibase 3.40.0 ou posterior, restringir a exposição dos endpoints de webhook, aplicar o menor privilégio às credenciais de banco das automações e revisar logs e fontes de dados conectadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.