CVE-2026-72851: Kritisk SQL-fejl i Budibase

Budibase, en platform til at bygge interne forretningsapplikationer, har en sårbarhed kaldet SQL-injektion (CVE-2026-72851). SQL-injektion betyder, at en angriber kan indsætte egne databasekommandoer i et system, der ikke tjekker input ordentligt, og dermed få systemet til at udføre kommandoer, det ikke skulle. Fejlen sidder i automatiseringer, der udløses af webhooks, altså kald udefra til en bestemt adresse, når disse indeholder et EXECUTE_QUERY-trin, som sender data direkte til en tilkoblet database. En angriber kan sende en almindelig POST-forespørgsel med skadeligt indhold til webhook-adressen uden at logge ind. Kommandoen udføres med de databaselegitimationer, som app-udvikleren har konfigureret, hvilket giver adgang til at læse, ændre og fastholde adgang i tilkoblede datakilder som Snowflake.

Sårbarheden rammer alle installationer af Budibase med version lavere end 3.40.0, både selvhostede og cloud-installationer. Det gælder virksomheder, der bruger Budibase til at bygge interne apps med automatiseringer, der starter via webhook, og som benytter EXECUTE_QUERY-trin til at hente eller skrive data i en tilkoblet database, for eksempel Snowflake, PostgreSQL eller MySQL. Har jeres organisation opsat webhook-udløste automatiseringer, som taler med en database, er I direkte eksponeret.

En angriber kan uden at logge ind sende en forespørgsel til webhook-adressen og få adgang til den underliggende database gennem de legitimationer, app-udvikleren har gemt i automatiseringen. I praksis kan det betyde udtræk af kundedata, ændring eller sletning af forretningskritiske data, samt oprettelse af skjulte konti eller bagdøre i databasen, så angriberen kan komme tilbage senere. For en dansk virksomhed med kunde- eller medarbejderdata i en tilkoblet database er der risiko for et databrud, der skal anmeldes til Datatilsynet.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login (PR:N), ingen handling fra en bruger (UI:N), kan udføres over netværket (AV:N) og kræver ikke særlig teknisk kompleksitet (AC:L). Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed af data (C:H/I:H/A:H). Der er ikke offentliggjort kendte tilfælde af aktiv udnyttelse på tidspunktet for offentliggørelsen, men fordi angrebet er trivielt at udføre uden login, må det forventes, at forsøg opstår hurtigt, når sårbarheden er offentligt kendt.

Følgende punkter lukker hullet og begrænser skaden, hvis I allerede er ramt:

1. Opdatér Budibase til version 3.40.0 eller nyere. Dette fjerner selve sårbarheden.
2. Gennemgå alle webhook-udløste automatiseringer med EXECUTE_QUERY-trin, og vurder om databaselegitimationerne bag dem har videre rettigheder end nødvendigt.
3. Tjek logfiler for databasen og webhook-endepunkterne for usædvanlige forespørgsler i perioden op til opdateringen.
4. Rotér databaselegitimationer, der har været brugt i sårbare automatiseringer, hvis der er tegn på uautoriseret adgang.
5. Overvej at begrænse netværksadgang til webhook-endepunkter, hvor det er muligt, som ekstra beskyttelseslag.
6. Kan I ikke selv verificere, om jeres opsætning har været udnyttet, eller mangler I ressourcer til at gennemgå logfiler og automatiseringer, bør I hente hjælp udefra til en sikkerhedsgennemgang.