CVE-2026-48128
Təsvir
Budibase açıq mənbəli low-code platformadır. 3.39.0 versiyasından əvvəl, Budibase-dəki executeQuery avtomatlaşdırma addımı avtomatlaşdırma addımı girişlərindən queryId qəbul edir və onu əlavə təsdiqləmədən birbaşa sorğu icra kontrollerinə ötürür. Daxili infrastruktura yönəlmiş şəkildə konfiqurasiya edilmiş REST məlumat mənbəyi ilə birlikdə bu, server tərəfli sorğu saxtakarlığı (SSRF) yolunu yaradır ki, burada avtomatlaşdırmanın icrası Budibase serverinin hücumçunun təsir etdiyi ünvanlara çıxan HTTP sorğuları göndərməsinə səbəb olur. Daha sonra avtomatlaşdırma çıxışı cavabı qaytarır və bu, daxili xidmət məlumatlarının ifşa olunmasına gətirib çıxara bilər. Bu zəiflik 3.39.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- budibase3.39.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| budibasenpm | v < 3.39.0 | 3.39.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.