CVE-2026-45717
WysokieStreszczenie
Budibase przed wersją 3.38.1 ma lukę w REST API, która pozwala uwierzytelnionym użytkownikom aplikacji na modyfikację konfiguracji źródła danych. Użytkownicy z rolą BASIC lub wyższą mogą wysyłać żądania PUT do zmiany ustawień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych usług oraz danych, co może prowadzić do poważnych incydentów bezpieczeństwa. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków na wewnętrzne zasoby.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.38.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe kontrole dostępu oraz zabezpieczenia na poziomie sieciowym.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.38.1, Budibase exposes a REST API for datasource management. The route PUT /api/datasources/:datasourceId is registered in the authorizedRoutes group with TABLE/READ permission. This is the same authorization level as the read endpoint (GET /api/datasources/:datasourceId). Every authenticated Budibase app user with the BASIC built-in role or higher carries TABLE/WRITE (and therefore TABLE/READ) permissions, and the datasource update controller performs no additional builder check. As a result, any authenticated non-builder app user can submit a PUT request to rewrite a datasource's config object — including the connection host, port, database credentials, or the base url of a REST datasource. Because no network-level SSRF protection is applied to SQL driver connections, redirecting a PostgreSQL/MySQL/MongoDB datasource to an internal IP address succeeds and the attacker can probe or interact with internal services on arbitrary po