CVE-2026-45716
Təsvir
Budibase açıq mənbəli low-code platformadır. 3.38.1 versiyasından əvvəl, POST /api/global/users/onboard son nöqtəsi (endpoint) workspaceBuilderOrAdmin proqram təminatı tərəfindən qorunur və bu, builder icazələri olan istənilən istifadəçinin ora daxil olmasına şərait yaradır. SMTP e-poçtu konfiqurasiya edilmədikdə (özünə aid host edilmiş Budibase nümunələri üçün standart haldır), bu son nöqtə adminlərlə məhdudlaşdırılmış dəvət axınını yan keçərək bulkCreate vasitəsilə birbaşa istifadəçilər yaradır və sorğu gövdəsindən ixtiyari admin və builder rol təyinatlarını qəbul edir. Builder səviyyəli istifadəçi yeni qlobal admin hesabı yarada və generatsiya edilmiş şifrəni cavabda ala bilər ki, bu da tam imtiyazların yüksəldilməsinə gətirib çıxarır. Bu zəiflik 3.38.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- @budibase/worker3.38.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @budibase/workernpm | v < 3.38.1 | 3.38.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.