CVE-2026-25045
Açıklama
Budibase; dahili araçlar, iş akışları ve yönetici panelleri oluşturmak için kullanılan düşük kodlu bir platformdur. Bu sorun, /api/global/users uç noktalarındaki sunucu tarafı RBAC kontrollerinin eksikliği nedeniyle Dikey Yetki Yükseltme ve IDOR'un (Güvensiz Doğrudan Nesne Referansı) bir kombinasyonudur. Kullanıcıları veya organizasyon rollerini yönetme yetkisine sahip olmaması gereken Creator seviyesindeki bir kullanıcı; bunun yerine bir App Viewer'ı Tenant Admin seviyesine yükseltebilir, bir Tenant Admin'i App Viewer seviyesine düşürebilir veya Owner hesap ayrıntılarını ve tüm siparişleri (örneğin isim değişikliği) değiştirebilir. Bunun nedeni, API'nin istek yapan rolü doğrulamadan bu işlemleri kabul etmesidir; böylece bir Creator, kendi oturum belirteçlerini kullanarak yalnızca Owner'a özel olan istekleri yeniden oynatabilir. Bu durum, tam kiracı ele geçirilmesine (full tenant compromise) yol açar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| budibase budibase | v ≤ 3.32.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.