Budibase の公開アプリから未認証でバックエンドDBを全件読み書きできる欠陥（CVSS 10.0）

Critical（CVSS 10.0）に分類されるBudibase Budibase 3.39.12 より前の脆弱性です。オープンソースのローコード基盤 Budibase の 3.39.12 より前に、公開済みアプリの未認証の訪問者が、背後のデータストア（MongoDB・CouchDB・Elasticsearch・DynamoDB-PartiQL・JSON ボディを使う REST）の全ドキュメントを読み出せる欠陥がある。作成者が PUBLIC の書き込みクエリを公開していれば、1回の HTTP リクエストで同じコレクションの全ドキュメントを書き換えることもできる。原因はクエリのパラメータ展開にある。enrichContext がパラメータ値をクエリの生の JSON ボディへそのまま埋め込んでから JSON.parse する一方、入力検証は Handlebars の記号（{{ と }}）だけを拒否し、JSON のメタ文字（" \ }）をエスケープしていない。閉じ引用符と追加のキーを含む値を送ると、攻撃者が制御するフィールドが解析後のフィルタオブジェクトに紛れ込む。MongoDB の find ではこのフィルタがそのまま collection.find() に渡り、重複キーの解析によって作成者が意図した条件が {$exists: true} に上書きされて全件が返る。updateMany に対して同じ手口を使うとフィルタの範囲がコレクション全体に広がる。認可ミドルウェアはクエリのロールが PUBLIC のとき短絡し、この経路に CSRF 対策も無い。呼び出しに必要なのは公開アプリの URL から分かる x-budibase-app-id ヘッダーだけで、セッションは要らない。CVSS 3.1 基本値は 10.0（スコープ変化あり）。修正は 3.39.12 で入っている。

Budibase を自前で運用している場合は、まずバージョンを確認して 3.39.12 以降へ更新する。更新できるまでの間は、公開（published）状態のアプリを止めるか、PUBLIC ロールのクエリを非公開に切り替えて到達経路を塞ぐ。読み出しだけなら被害は情報漏えいに留まるが、PUBLIC の書き込みクエリがあるとコレクション全体の改ざんに至るため、そこを先に落とすのが効果的である。攻撃には公開アプリの URL から得られる ID しか要らないので、社内限定のつもりで公開していたアプリも対象になる。更新後は、影響期間中に不審な大量読み出しや updateMany 相当の更新が起きていないかをデータストア側のログで確認する。個人情報や資格情報をローコードアプリの背後に置いている場合は、漏えい前提での対応（該当データの棚卸しと必要な通知の検討）も並行して進める。

Budibase Budibase 3.39.12 より前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-54350）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。