CVE-2026-81335

Baserow, Application Builder məlumat mənbəyini icazə yoxlamasının nəticəsini nəzərə almadan göndərir. backend/src/baserow/contrib/builder/api/data_sources/views.py faylındakı dispatch və record-name görüntüləri hər hansı çağırana icazə verən icazə sinfi ilə təyin edilib, buna görə də heç bir etibarlılıq sənədi olmayan sorğu idarəediciyə çatır. Daha sonra backend/src/baserow/contrib/builder/data_sources/service.py faylındakı DataSourceService.dispatch_data_sources funksiyası check_multiple_permissions funksiyasını istisna yaratmağı tələb etmədən çağırır və onun qaytardığı rədd edilmələr xəritəsini nə saxlayır, nə də araşdırır; beləliklə, rədd edilmiş yoxlama icranın davam etməsinə səbəb olur və çağıranın kimliyindən asılı olmayaraq məlumat mənbəyi göndərilir. Göndərmə prosesi inteqrasiyanın öz etibarlılıq sənədləri ilə icra olunur, buna görə də autentifikasiya olunmamış sorğu müvafiq məlumat mənbəyini qeyd etdikdə həmin mənbənin oxuduğu sətirləri və sahələri əldə edir. İdentifikatorlar kiçik tam ədədlərdir və onları sadalamaq mümkündür. Versiya 2.3.1 eyni çağırışa raise_exception parametrini ötürür.