CVE-2026-31816
KrytyczneStreszczenie
Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.31.4 i wcześniejszych, middleware authorized() serwera Budibase, który chroni każdy punkt końcowy API po stronie serwera, może być całkowicie ominięty przez dodanie wzoru ścieżki webhooka do ciągu zapytania w dowolnym żądaniu.
Ocena ryzyka
Atakujący zdalny, nieautoryzowany użytkownik może uzyskać dostęp do dowolnego punktu końcowego API po stronie serwera, co stwarza poważne zagrożenie dla bezpieczeństwa danych i systemu. Brak odpowiednich mechanizmów uwierzytelniania i autoryzacji może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację Budibase do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń aplikacji oraz wdrożyć dodatkowe mechanizmy ochrony przed nieautoryzowanym dostępem.
Powiązane podatności
- CVE-2026-15340Krytyczne
Klient SMTP w bibliotece lwIP nie sprawdza rozmiaru danych wejściowych, co może prowadzić do przepełnienia bufora.
- CVE-2026-108109Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera podatność przejęcia konta w procesie resetowania hasła klienta w pliku system/controllers/forgot.php. Nieuwierzytelniony atakujący może brute-force'ować 6-cyfrowy kod OTP bez limitów prób i blokady, a następnie odczytać nowo ustawione hasło z odpowiedzi HTTP.
- CVE-2026-108107Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera nieuwierzytelnioną podatność SQL injection w endpoincie REST FreeRADIUS w pliku radius.php, który wstawia parametry żądania do zapytań whereRaw(). Atakujący może wysyłać spreparowane parametry username, macAddr lub nasid do akcji accounting lub authenticate, aby wyodrębnić rekordy klientów i poświadczenia za pomocą czasowej ślepej SQL injection.
- CVE-2026-107806Krytyczne
Nginx UI to interfejs webowy dla serwera Nginx. Od wersji 2.3.8 do 2.5.0 uwierzytelniony administrator z aktywną sesją może przesłać kontrolowany przez atakującego materiał klucza kopii zapasowej i pasujący manifest do POST /api/restore. Proces przywracania ufa dostarczonemu kluczowi, odszyfrowuje kontrolowaną treść i zastępuje plik app.ini, w tym chronione ustawienia poleceń nginx, takie jak TestConfigCmd. Wywołanie POST /api/nginx/test wykonuje przywrócone polecenie w kontekście środowiska Nginx UI.
- CVE-2026-105278Krytyczne
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
- CVE-2026-100730Krytyczne
Interfejs konsoli usługi w openPDC i openHistorian deserializuje strukturę danych dostarczoną przez klienta. W systemach z uwierzytelnianiem Windows atakujący musi być uwierzytelniony, aby uzyskać dostęp do tej funkcji; w systemach bez uwierzytelniania Windows jest ona dostępna dla nieuwierzytelnionego atakującego sieciowego. Może to pozwolić na zdalne wykonanie kodu z uprawnieniami konta usługi.
- CVE-2026-86405Krytyczne
Moduł PrestaShop Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.1 do 26.9.1.
- CVE-2026-85531Krytyczne
Moduł OpenCart Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.2 do 26.9.1.
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
Budibase is a low code platform for creating internal tools, workflows, and admin panels. In 3.31.4 and earlier, the Budibase server's authorized() middleware that protects every server-side API endpoint can be completely bypassed by appending a webhook path pattern to the query string of any request. The isWebhookEndpoint() function uses an unanchored regex that tests against ctx.request.url, which in Koa includes the full URL with query parameters. When the regex matches, the authorized() middleware immediately calls return next(), skipping all authentication, authorization, role checks, and CSRF protection. This means a completely unauthenticated, remote attacker can access any server-side API endpoint by simply appending ?/webhooks/trigger (or any webhook pattern variant) to the URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS