CVE-2026-72857
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.40.0 nie maskuje poświadczeń źródeł danych przechowywanych w polach typu STRING, co pozwala uwierzytelnionym użytkownikom na odczytanie w postaci jawnej ciągów połączeń MongoDB i kluczy prywatnych Firebase. Atakujący z uprawnieniami odczytu tabel mogą pobrać konfiguracje źródeł danych przez API, uzyskując dostęp do poświadczeń baz danych i kluczy kont usług.
Ocena ryzyka
Ryzyko polega na ujawnieniu wrażliwych poświadczeń, co może prowadzić do nieautoryzowanego dostępu do baz danych i usług zewnętrznych, naruszając poufność danych.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.40.0 lub nowszej, która zawiera poprawkę maskowania poświadczeń.
Oryginalny opis (angielski, źródło NVD)
Budibase before 3.40.0 fails to redact datasource credentials stored in STRING typed fields, allowing authenticated users to read MongoDB connection strings and Firebase private keys in plaintext. Attackers with table read permissions can retrieve datasource configurations through the read API to obtain live backend database credentials and service account keys.