„`html
Zusammenfassung
Eine kritische NoSQL-Injection-Schwachstelle (CVE-2026-73618) wurde in Budibase Server vor Version 3.40.0 identifiziert. Die Vulnerability mit einem CVSS-Score von 8.3 ermöglicht es Angreifern mit Query-Schreibberechtigungen, MongoDB-Abfragen zu manipulieren und unberechtigt auf Datenbankeinträge zuzugreifen.
Betroffene Systeme
Budibase Server-Installationen mit Versionsnummern unter 3.40.0 sind anfällig. Die Schwachstelle betrifft insbesondere Deployments, die MongoDB als Datenbankbackend verwenden und Benutzern Query-Schreibrechte gewähren.
Technische Details
Die Vulnerability basiert auf unzureichender Eingabevalidierung im MongoDB Query Execution Endpoint. Benutzerdefinierte Parameter werden direkt in JSON-Query-Templates interpoliert, ohne JSON-Metazeichen zu bereinigen. Angreifer können strukturelle JSON-Zeichen (wie Klammern und Anführungszeichen) injizieren, um die Querystruktur zu verändern.
Ein Angreifer mit entsprechenden Berechtigungen kann:
- Filter-Bedingungen umgehen und unbegrenzte Datensätze auslesen
- Datenbankeinträge unauthorized modifizieren oder löschen
- Logiken der Zugriffskontrolle bypassen
Beispiel-Angriffsszenario: Durch Injection von {"$ne": null} in Filterbedingungen können WHERE-Klauseln neutralisiert werden.
Empfohlene Massnahmen
Sofortmassnahmen:
- Einschränkung von Query-Schreibberechtigungen auf vertrauenswürdige Benutzer
- Implementierung zusätzlicher Netzwerk-Segmentierung für Budibase-Instanzen
- Monitoring von Query-Aktivitäten auf Anomalien
Längerfristige Lösung: Update auf Budibase Server Version 3.40.0 oder höher durchführen, sobald verfügbar.
Bewertung
Mit einem CVSS-Score von 8.3 (High Severity) und dem Netzwerk-Angriffsvektor stellt diese Vulnerability ein erhebliches Risiko dar. Die Kombination aus hoher Auswirkung auf die Datenbankintegrität und leichter Ausnutzbarkeit macht eine zeitnahe Behebung erforderlich. Umgebungen mit sensiblen Daten sollten priorisiert werden.
„`