CVE-2026-45715
WysokieStreszczenie
Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.38.1 integracja z danymi REST nie sprawdza ponownie czarnej listy IP podczas podążania za przekierowaniami HTTP, co pozwala uwierzytelnionemu Builderowi uzyskać dostęp do wewnętrznych usług przez serwer kontrolowany przez atakującego.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych i usług wewnętrznych, co może prowadzić do wycieku informacji lub kompromitacji systemów.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.38.1 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.38.1, the REST datasource integration (packages/server/src/integrations/rest.ts) follows HTTP redirects without re-checking the IP blacklist, allowing an authenticated Builder to access internal services (cloud metadata, databases) by redirecting through an attacker-controlled server. This vulnerability is fixed in 3.38.1.