CVE-2026-46426
WysokieStreszczenie
Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.38.2, punkt końcowy przesyłania plików POST /api/attachments/process nie egzekwuje ograniczeń dotyczących aktywnej zawartości dla uwierzytelnionych użytkowników, co pozwala na przesyłanie niebezpiecznych plików przez uwierzytelnionych budowniczych.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu JavaScript do aplikacji, co prowadzi do trwałego XSS dla wszystkich użytkowników aplikacji. Może to skutkować kradzieżą danych lub przejęciem sesji użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 3.38.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe kontrole bezpieczeństwa przy przesyłaniu plików.
Inne podatności w Budibase
Zobacz wszystkie- CVE-2026-48152Wysokie
Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.39.0 miała luki w zabezpieczeniach związane z dostępem do tras GET i PUT dla pojedynczego źródła danych. Użytkownicy z rolą Basic mogli uzyskać dostęp do poufnych informacji, takich jak sekrety autoryzacji, poprzez manipulację danymi konfiguracyjnymi.
- CVE-2026-46427Wysokie
Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.38.3 nie maskowała poprawnie wrażliwych danych w integracji z Snowflake. Użytkownik z autoryzacją BASIC mógł uzyskać pełny klucz PEM w formacie tekstowym.
- CVE-2026-45717Wysokie
Budibase przed wersją 3.38.1 ma lukę w REST API, która pozwala uwierzytelnionym użytkownikom aplikacji na modyfikację konfiguracji źródła danych. Użytkownicy z rolą BASIC lub wyższą mogą wysyłać żądania PUT do zmiany ustawień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
- CVE-2026-45716Wysokie
Budibase to platforma open-source low-code, która przed wersją 3.38.1 miała lukę w zabezpieczeniach w punkcie końcowym POST /api/global/users/onboard. Umożliwia to użytkownikom z uprawnieniami budowniczego dostęp do tworzenia nowych kont globalnych administratorów, co prowadzi do eskalacji uprawnień.
- CVE-2026-45548Wysokie
Budibase to platforma open-source do niskokodowego tworzenia aplikacji. W wersjach przed 3.34.8 funkcja processUrlFile w pliku extract.ts nie weryfikowała adresów IP, co umożliwiało uwierzytelnionym użytkownikom wysyłanie żądań do wewnętrznych adresów sieciowych.
- CVE-2026-82244Krytyczne
Budibase przed wersją 3.41.3 zawiera podatność na zdalne wykonanie kodu w obsłudze wtyczek, która pozwala uwierzytelnionym administratorom wykonać dowolny kod poprzez przesłanie złośliwego pakietu wtyczki. Serwer wywołuje eval() na plikach JavaScript wtyczki bez sandboxa w głównym procesie Node.js, umożliwiając atakującym kradzież zmiennych środowiskowych i poświadczeń z uprawnieniami roota w domyślnych instalacjach.
- CVE-2026-73302Krytyczne
Budibase przed wersją 3.39.30 ma podatność w przepływie OIDC, gdzie adres e-mail nie jest weryfikowany pod kątem email_verified, a konta są łączone na podstawie adresu e-mail. Atakujący, który może uwierzytelnić się przez dostawcę tożsamości z niezweryfikowanym adresem e-mail ofiary, może przejąć konto ofiary i odziedziczyć jej role.
- CVE-2026-72851Krytyczne
Budibase przed wersją 3.40.0 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w automatyzacjach wyzwalanych webhookiem z krokami EXECUTE_QUERY. Atakujący może wysłać JSON do endpointu webhooka, aby wstrzyknąć ładunki SQL wykonujące się z poświadczeniami bazy danych skonfigurowanymi przez buildera, umożliwiając eksfiltrację, modyfikację i trwałość danych w połączonych źródłach danych.
- CVE-2026-72850Krytyczne
Budibase przed wersją 3.40.0 nieprawidłowo sanityzuje klucze obiektów S3, umożliwiając uwierzytelnionym builderom przesyłanie plików z sekwencjami traversal, które są zachowywane podczas eksportu. Atakujący mogą tworzyć nazwy plików zawierające segmenty .., które wychodzą poza katalog tymczasowy podczas eksportu obszaru roboczego, zapisując dowolną treść w dowolnej ścieżce zapisywalnej przez proces Budibase.
- CVE-2026-73407Krytyczne
Budibase przed wersją 3.40.1 nie weryfikował, czy docelowy adres żądania odpowiada źródłu danych, przez co nieuwierzytelniony użytkownik mógł wysłać zapytanie do publicznego punktu końcowego i przechwycić zapisane poświadczenia (bearer, basic lub statyczne nagłówki). Problem został naprawiony w wersji 3.40.1.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.38.2, the file upload endpoint POST /api/attachments/process does not enforce active-content restrictions for authenticated users. The checks for dangerous file extensions are conditionally wrapped inside if (isPublicUser) or if (isPublicUser || !env.SELF_HOSTED), meaning any authenticated builder can upload executable web content — SVG files with inline <script> tags, HTML pages with JavaScript, .js modules — which are then stored in the object store (MinIO/S3) with their correct MIME types. When the resulting signed URL is opened by any app user, the browser executes the payload. Impact is persistent stored XSS over all application end users. This vulnerability is fixed in 3.38.2.