CVE-2026-46426

Budibase açıq mənbəli low-code platformadır. 3.38.2 versiyasından əvvəl, fayl yükləmə nöqtəsi olan POST /api/attachments/process autentifikasiya olunmuş istifadəçilər üçün aktiv kontent məhdudiyyətlərini tətbiq etmir. Təhlükəli fayl genişlənmələri üçün yoxlamalar şərti olaraq if (isPublicUser) və ya if (isPublicUser || !env.SELF_HOSTED) daxilinə yerləşdirilib; bu o deməkdir ki, hər hansı autentifikasiya olunmuş builder icra edilə bilən veb kontenti — daxili <script> teqləri olan SVG fayllarını, JavaScript ehtiva edən HTML səhifələrini, .js modullarını — yükləyə bilər və onlar düzgün MIME tipləri ilə obyekt anbarında (MinIO/S3) saxlanılır. Nəticədə alınan imzalanmış URL hər hansı tətbiq istifadəçisi tərəfindən açıldıqda, brauzer zərərli kodu icra edir. Bunun təsiri bütün tətbiq son istifadəçiləri üzrə qalıcı stored XSS-dir. Bu boşluq 3.38.2 versiyasında aradan qaldırılıb.