🇰🇷 한글 설명
Budibase 3.40.0 미만 버전의 MongoDB 데이터 소스 통합 기능에서 NoSQL 인젝션 취약점이 발견되었습니다. 공격자는 Handlebars의 noEscaping 옵션과 필터링되지 않은 쿼리 파라미터를 악용하여 MongoDB 연산자를 주입할 수 있습니다. 이를 통해 사용자 권한 우회, 임의 문서 읽기, JavaScript 실행 및 데이터 수정이 가능합니다.
💡 쉬운 설명
데이터베이스에 명령을 내리는 과정에서 보안 검사가 제대로 이루어지지 않아 발생하는 문제입니다. 나쁜 의도를 가진 사람이 특수 명령어를 입력하면 관리자 권한을 훔치거나 데이터를 마음대로 지울 수 있습니다.
🇺🇸 원문 (English)
Budibase before 3.40.0 contains a NoSQL injection vulnerability in the MongoDB datasource integration where user-supplied parameters are enriched with handlebars using noEscaping: true and parsed without operator filtering. Attackers can inject MongoDB operators through query parameters to bypass per-user access controls, read arbitrary documents, execute JavaScript via $where operators, or modify collections through update and delete operations.
📍 영향받는 시스템
Budibase 3.40.0 미만 모든 버전
⚔️ 공격 벡터
MongoDB 쿼리 파라미터에 NoSQL 연산자를 주입하여 데이터베이스 제어권을 획득
🛡️ 대응 방법
Budibase를 최신 버전(3.40.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.40.0보다 낮으면 취약한 상태입니다.
budibase --version 2>/dev/null | grep -E '([0-9]{1,2}\.[0-9]{1,2}\.[0-9]{1,2})'