CVE-2026-73305
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Budibase przed wersją 3.39.24 zawiera podatność w punkcie końcowym POST /api/public/v1/roles/assign, gdzie brakuje walidacji appBuilder.appId lub role.appId. Użytkownik z uprawnieniami buildera w jednej aplikacji może przypisać sobie uprawnienia buildera lub dowolną rolę w innej aplikacji, uzyskując dostęp do jej danych, konfiguracji źródeł danych i automatyzacji. Problem naprawiono w wersji 3.39.24.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień i nieautoryzowany dostęp do wrażliwych danych i konfiguracji w innych aplikacjach, co może prowadzić do naruszenia bezpieczeństwa całej platformy.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.39.24 lub nowszej, aby zapobiec eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.39.24, POST /api/public/v1/roles/assign called validateGlobalRoleUpdate without checking appBuilder.appId or role.appId in packages/server/src/api/controllers/public/globalRoleValidation.ts. An app-scoped builder could scope the request to an app they control and then grant themselves builder access or an arbitrary role in another app, exposing that app data, datasource configuration, and automations. This issue is fixed in version 3.39.24.