CVE-2026-100681

Budibase server przed wersją 3.45.0 zawiera podatność cross-tenant information disclosure w endpoincie GET /api/applications/:appId/appPackage, która pozwala uwierzytelnionym użytkownikom odczytać metadane aplikacji i kod źródłowy innego tenanta. Atakujący może podać identyfikator aplikacji ofiary, aby bez kontroli autoryzacji uzyskać wrażliwe szczegóły aplikacji, w tym strukturę nawigacji, nazwy ról, wewnętrzne adresy URL ekranów, fragmenty JavaScript i identyfikatory użytkowników.

Budibase Server przed wersją 3.45.0 nie redaguje jawnych poświadczeń źródeł danych przed rozgłaszaniem aktualizacji tabel zewnętrznych do pokoju websocket współpracy Builder. Atakujący z dostępem do Builder mogą przechwycić nieocenzurowane obiekty źródeł danych zawierające hasła do baz danych i klucze API, obserwując operacje zapisu lub usunięcia tabeli.

Budibase w wersjach przed 3.45.0 nie weryfikuje autoryzacji na poziomie aplikacji w punkcie końcowym POST /api/global/groups/:groupId/apps, umożliwiając builderom przypisywanie ról aplikacji poza granicami obszaru roboczego. Builder jednego obszaru roboczego może wykorzystać brak sprawdzania autoryzacji na poziomie aplikacji, aby przyznać sobie role administratora w innych obszarach roboczych poprzez modyfikację mapowań ról grup użytkowników.

Budibase przed wersją 3.45.0 nieprawidłowo ogranicza zakres endpointu GET /api/chat-links do workspace'u, co pozwala builderom wyliczać rekordy powiązań tożsamości czatu we wszystkich workspace'ach w tenancie. Atakujący z dostępem builder do jednego workspace'u może odczytać wrażliwe dane powiązań tożsamości czatu, w tym identyfikatory użytkowników i zewnętrzne identyfikatory usług czatu z innych workspace'ów, do których nie ma uprawnień.

Budibase w wersjach od 3.41.0 do 3.45.0 zawiera obejście uwierzytelniania w ścieżce logowania OIDC/SSO w @budibase/server. Gdy żaden istniejący użytkownik nie pasuje do przychodzącego podmiotu SSO, serwer wyszukuje oczekujące zaproszenia użytkowników wyłącznie po adresie e-mail potwierdzonym przez IdP — bez weryfikacji kodu zaproszenia i bez sprawdzenia email_verified. Atakujący mogący zarejestrować się w zaufanym IdP i podać zaproszony adres e-mail ofiary przejmuje oczekujące zaproszenie i dziedziczy wszystkie przyznane uprawnienia, w tym builder i admin.global.

Budibase (@budibase/server) przed wersją 3.45.0 buduje DDL zmiany nazwy kolumn MySQL i MSSQL w packages/backend-core/src/sql/sqlTable.ts, interpolując identyfikatory bezpośrednio do surowego zapytania bez użycia helperów quoteMySqlIdentifier / quoteSqlServerIdentifier. Atakujący z uprawnieniami DDL na podłączonym źródle danych MySQL/MSSQL może utworzyć kolumnę zawierającą backtick lub apostrof oraz dodatkowy SQL; gdy builder zmieni nazwę tej kolumny przez UI, wstrzyknięty SQL zostanie wykonany.

Budibase Server przed wersją 3.45.0 zawiera podatność na dowolny zapis plików w endpointcie przesyłania ikon PWA, który rozpakowuje dostarczone przez użytkownika archiwa ZIP bez odpowiedniej walidacji dowiązań symbolicznych. Atakujący z rolą BUILDER może stworzyć złośliwy ZIP z dowiązaniami symbolicznymi i zduplikowanymi wpisami plików, aby zapisać dowolne pliki jako root.

Budibase w wersjach przed 3.45.0 nie wyłącza rozwiązywania zewnętrznych referencji JSON w walidatorze importu OpenAPI/Swagger, co pozwala uwierzytelnionym builderom odczytywać dowolne pliki lokalne. Atakujący z dostępem builder może osadzić referencje file:// w specyfikacjach OpenAPI przesyłanych do endpointu importu, aby eksfiltrować wrażliwe pliki, w tym zmienne środowiskowe zawierające sekrety JWT, klucze API i poświadczenia baz danych.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.39.0 miała luki w zabezpieczeniach związane z dostępem do tras GET i PUT dla pojedynczego źródła danych. Użytkownicy z rolą Basic mogli uzyskać dostęp do poufnych informacji, takich jak sekrety autoryzacji, poprzez manipulację danymi konfiguracyjnymi.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.38.3 nie maskowała poprawnie wrażliwych danych w integracji z Snowflake. Użytkownik z autoryzacją BASIC mógł uzyskać pełny klucz PEM w formacie tekstowym.