CVE-2026-25044Budibase是一个开源低代码平台。在3.33.4版本之前，其bash自动化步骤存在严重安全缺陷。系统在处理用户提供的命令时，通过processStringSync函数进行模板插值处理，随后调用execSync执行。由于缺乏适当的输入清理和验证机制，攻击者可利用该漏洞构造恶意命令字符串。一旦被利用，攻击者可在服务器端执行任意系统命令，获取系统控制权，对数据机密性、完整性和可用性造成严重影响。
该漏洞根因在于Budibase处理自动化任务时的不安全代码执行机制。具体而言，当用户配置Bash自动化步骤时，系统接收的用户输入会直接传递给processStringSync函数。该函数支持模板插值功能，允许解析特定语法，意图是动态生成命令。然而，由于系统缺乏有效的安全清洗机制，未能区分合法的模板变量与恶意的Shell操作符。攻击者可以注入恶意的Shell命令（例如使用`$()`语法或反引号）来绕过逻辑。随后，系统调用execSync执行经过插值处理的字符串，导致恶意命令在服务器运行时上下文中被运行。结合CVSS向量分析，攻击者仅需低权限且无需用户交互即可通过网络发起攻击。成功利用该漏洞可导致攻击者在服务器上执行任意代码，窃取敏感数据、安装后门或破坏服务，从而对系统的机密性、完整性和可用性造成全面且不可逆的影响。