CVE-2026-35219

Yüksek

Açıklama

Budibase açık kaynaklı bir düşük kodlu (low-code) platformudur. 3.41.3 sürümünden önce; packages/server/src/automations/steps/outgoingWebhook.ts, packages/server/src/automations/steps/zapier.ts, packages/server/src/automations/steps/n8n.ts, packages/server/src/automations/steps/slack.ts ve packages/server/src/automations/steps/discord.ts dosyalarındaki otomasyon adımları, kullanıcı tarafından sağlanan URL'ler üzerinde REST entegrasyonunda kullanılan BLACKLIST_IPS zorunluluğu olmadan node-fetch kullanmaktadır; bu durum, kimliği doğrulanmış bir kullanıcının bulut meta verilerine ve dahili servislere sunucu taraflı istekler yapmasına olanak tanır. Bu sorun 3.41.3 sürümünde düzeltilmiştir.

ÖnemYüksek

CVSS7.1

İstismar olasılığı—

Ürün@budibase/server

Yayın17 Ağu 2026

İlk görülme17 Ağu 2026

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

@budibase/server3.41.3 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
@budibase/servernpm	v < 3.41.3	3.41.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.