CVE-2026-33226
Təsvir
Budibase daxili alətlər, iş axınları və admin panelləri yaratmaq üçün nəzərdə tutulmuş low-code platformadır. 3.30.6 və daha əvvəlki versiyalarda, REST mənbəyi sorğu önizləmə son nöqtəsi (endpoint) (POST /api/queries/preview), fields.path sahəsində istifadəçi tərəfindən təmin edilən hər hansı URL-ə heç bir yoxlama aparmadan server tərəfli HTTP sorğuları göndərir. Autentifikasiya olunmuş administrator internetə açıq olmayan daxili xidmətlərə — o cümlədən bulud metadata son nöqtələrinə (AWS/GCP/Azure), daxili verilənlər bazalarına, Kubernetes API-lərinə və daxili şəbəkədəki digər podlara müraciət edə bilər. GCP-də bu, cloud-platform əhatəli (tam GCP girişi) OAuth2 tokeninin oğurlanmasına səbəb olur. Hər hansı tətbiqdə isə bu, tam daxili şəbəkə enumerasiyasını mümkün edir. Nəşr edildiyi vaxtda heç bir publicly available yamalar mövcud deyildi.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| budibase budibase | v ≤ 3.30.6 | — |
| budibasenpm | v ≤ 3.30.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.