CVE-2026-72849
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.40.0 zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym handoff linku czatu, która pozwala atakującym na powiązanie zewnętrznej tożsamości czatu z kontem ofiary. Atakujący mogą stworzyć stronę phishingową, która automatycznie wysyła żądanie POST z przeciekiem tokena potwierdzającego, aby powiązać swoją tożsamość czatu z kontem ofiary, umożliwiając podszywanie się w operacjach agenta i dziedziczenie uprawnień ofiary.
Ocena ryzyka
Ryzyko obejmuje możliwość podszywania się pod użytkownika i wykorzystanie jego uprawnień, co może prowadzić do nieautoryzowanych działań i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.40.0 lub nowszej, która zawiera poprawki zabezpieczające przed CSRF.
Oryginalny opis (angielski, źródło NVD)
Budibase before 3.40.0 contains a cross-site request forgery vulnerability in the chat-link handoff endpoint that allows attackers to bind an external chat identity to a victim's account. Attackers can craft a phishing page that auto-submits a POST request with a leaked confirmation token to bind their chat identity to a victim user's account, enabling impersonation within agent operations and inheritance of victim permissions.