CVE-2026-100684

Budibase 3.41.0 ile 3.45.0 arasındaki sürümler, @budibase/server bileşeninin OIDC/SSO giriş yolunda bir kimlik doğrulama atlatma zafiyeti içermektedir. sso.authenticate fonksiyonunda, gelen SSO öznesiyle eşleşen mevcut bir kullanıcı olmadığında sunucu; davet kodu doğrulaması yapmadan ve email_verified kontrolü gerçekleştirmeden (email_verified kapısı yalnızca mevcut hesap aramasını korumaktadır), bekleyen kullanıcı davetlerini sadece IdP tarafından beyan edilen e-posta adresi üzerinden aramaktadır. Kiracının OIDC için güvendiği bir IdP üzerinde kayıt olabilen ve kurbanın davetli e-posta adresini beyan edebilen (email_verified=false olsa dahi) bir saldırgan, bekleyen daveti sahiplenebilir ve yönetici hariç tutması olmaksızın builder ve admin.global dahil olmak üzere tüm tanımlanmış ayrıcalıkları devralabilir. Bu durum, davet edilen asıl kullanıcının ele geçirilmesine ve yönetici davetleri söz konusu olduğunda tam kiracı uzlaşmasına (tüm uygulamalara, üretim kimlik bilgileri dahil veri kaynaklarına ve otomasyonlara erişim) yol açar; ayrıca davet tüketildiği için gerçek davetlinin sisteme katılması engellenir.