CVE-2026-82241
Təsvir
Budibase backend-core (@budibase/backend-core, @budibase/server tərəfindən istifadə olunan), REST mənbəyi sorğu önizləmələrində istifadə edilən standart SSRF qara siyahısından (DEFAULT_BLACKLIST) 100.64.0.0/10 ortaq ünvan sahəsi diapazonunu çıxarıb. Standart qara siyahı aktiv olduqda (yəni, özünə aid host edilmiş deployment-də BLACKLIST_IPS təyin edilmədikdə), Builder icazəsinə malik autentifikasiya olunmuş istifadəçi, 100.64.0.0/10 diapazonunda əlçatan olan HTTP(S) xidmətini hədəf götürərək POST /api/queries/preview ünvanına REST mənbəyi sorğu önizləmə sorğusu göndərə bilər; bu, serverin həmin hədəfə sorğu göndərməsinə və cavabı önizləmə axını vasitəsilə qaytarmasına səbəb olur. Məsləhətə əsasən, nəşr zamanı heç bir buraxılmış düzəliş müəyyən edilməmişdir; problemin aradan qaldırılması üçün 100.64.0.0/10 ünvanı DEFAULT_BLACKLIST siyahısına əlavə edilməlidir.
Necə düzəltmək olar
- budibase server3.41.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| budibase server | v < 3.41.3 | 3.41.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.