CVE-2026-31818
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.33.4 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w łączniku danych REST. Mechanizm ochrony SSRF (czarna lista IP) jest nieskuteczny, ponieważ zmienna środowiskowa BLACKLIST_IPS nie jest domyślnie ustawiona w żadnej oficjalnej konfiguracji wdrożeniowej. Gdy zmienna jest pusta, funkcja czarnej listy bezwarunkowo zwraca false, przepuszczając wszystkie żądania.
Ocena ryzyka
Atakujący może wykorzystać serwer Budibase do wykonywania żądań do wewnętrznych zasobów sieciowych, omijając zapory i uzyskując dostęp do wrażliwych systemów.
Rekomendacja
Zaktualizuj Budibase do wersji 3.33.4 lub nowszej. Ustaw zmienną środowiskową BLACKLIST_IPS z odpowiednią listą adresów IP do zablokowania.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to version 3.33.4, a server-side request forgery (SSRF) vulnerability exists in Budibase's REST datasource connector. The platform's SSRF protection mechanism (IP blacklist) is rendered completely ineffective because the BLACKLIST_IPS environment variable is not set by default in any of the official deployment configurations. When this variable is empty, the blacklist function unconditionally returns false, allowing all requests through without restriction. This issue has been patched in version 3.33.4.