CVE-2026-35216
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.33.4 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerze poprzez wyzwolenie automatyzacji zawierającej krok Bash za pomocą publicznego endpointu webhook. Proces wykonuje się jako root w kontenerze.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia jako root na serwerze Budibase, co prowadzi do całkowitej kompromitacji aplikacji i danych.
Rekomendacja
Należy natychmiast zaktualizować Budibase do wersji 3.33.4 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to version 3.33.4, an unauthenticated attacker can achieve Remote Code Execution (RCE) on the Budibase server by triggering an automation that contains a Bash step via the public webhook endpoint. No authentication is required to trigger the exploit. The process executes as root inside the container. This issue has been patched in version 3.33.4.