CVE-2026-35219
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.41.3 zawiera podatność w krokach automatyzacji (outgoingWebhook, zapier, n8n, slack, discord), gdzie używają one node-fetch na adresach URL dostarczonych przez użytkownika bez egzekwowania BLACKLIST_IPS, co pozwala uwierzytelnionemu użytkownikowi na wykonywanie żądań po stronie serwera do metadanych chmury i wewnętrznych usług.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych lub metadanych chmury, co może prowadzić do wycieku wrażliwych informacji lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.41.3, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.41.3, automation steps in packages/server/src/automations/steps/outgoingWebhook.ts, packages/server/src/automations/steps/zapier.ts, packages/server/src/automations/steps/n8n.ts, packages/server/src/automations/steps/slack.ts, and packages/server/src/automations/steps/discord.ts use node-fetch on user-provided URLs without the BLACKLIST_IPS enforcement used by the REST integration, allowing an authenticated user to make server-side requests to cloud metadata and internal services. This issue is fixed in version 3.41.3.