CVE-2026-73618
CVE-2026-73618 · Budibase Server before 3.40.0 NoSQL Injection via JSON Parameter
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Budibase Server before 3.40.0 contains a NoSQL injection vulnerability in the MongoDB query execution endpoint where user-supplied parameters are interpolated into JSON query templates without proper sanitization of JSON metacharacters. Attackers with query write permission can inject JSON structural characters to alter MongoDB queries, bypassing filters to read, modify, or delete arbitrary documents.
CVSS 8.7 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
server
- Versiones
- ≥ 0, < 3.40.0: Afectada (semver)
- 3.40.0: No afectada (semver)
Actualiza a 3.40.0
@budibase/server npm
- Intervalos de versiones afectados
- SEMVER: ≤ 3.38.1
Sin corrección publicada