CVE-2026-25045
Təsvir
Budibase daxili alətlər, iş axınları və admin panelləri yaratmaq üçün nəzərdə tutulmuş low-code platformadır. Bu problem, /api/global/users son nöqtələrində (endpoints) server tərəfli RBAC yoxlamalarının olmaması səbəbindən Şaquli İmtiyazların Yüksəldilməsi və IDOR (Insecure Direct Object Reference)-un kombinasiyasıdır. İstifadəçiləri və təşkilati rolları idarə etmək hüququ olmayan Creator səviyyəli istifadəçi, əksinə, bir App Viewer-i Tenant Admin rütbəsinə yüksəldə, Tenant Admin-i App Viewer rütbəsinə endirə və ya Owner hesabının detallarını və bütün sifarişləri (məsələn, adı dəyişdirərək) redaktə edə bilər. Bunun səbəbi API-nin sorğu göndərən rolunu təsdiqləmədən bu hərəkətləri qəbul etməsidir; beləliklə, Creator öz sessiya tokenlərindən istifadə edərək yalnız Owner-ə məxsus olan sorğuları yenidən göndərə bilir. Bu, tam tenant kompromisinizə gətirib çıxarır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| budibase budibase | v ≤ 3.32.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.