CVE-2026-45061

Budibase açık kaynaklı bir düşük kodlu (low-code) platformdur. 3.35.10 sürümünden önce, Eklenti URL yükleme uç noktası (POST /api/plugin), gönderilen URL'yi tek bir alt dize kontrolü ile doğrulamaktadır: url.includes(".tar.gz"). Dizenin herhangi bir yerinde (.tar.gz) içeren tüm URL'ler —yol, sorgu dizisi veya fragman içinde— bu kontrolü geçer. Ardından URL; ana bilgisayar, şema veya yol üzerinde başka hiçbir doğrulama yapılmadan doğrudan fetchWithBlacklist() işlemine aktarılır. Tek başına bu zafiyet, özel IP aralıklarını kapsayan Budibase'in varsayılan SSRF kara listesi tarafından engellenmektedir. Ancak URL doğrulama katmanı kendi başına hatalıdır ve iki gerçekçi durumda doğrudan SSRF'ye olanak tanır: (1) kara listenin boş olduğu BLACKLIST_IPS baypas işlemiyle zincirlendiğinde ve (2) eklenti sunucusu harici bir URL'den dahili bir hedefe yapılan HTTP yönlendirmelerini takip ettiğinde (redirect: 'follow' ile varsayılan node-fetch davranışı). Bu zafiyet 3.35.10 sürümünde giderilmiştir.