CVE-2026-46426

Budibase açık kaynaklı bir düşük kodlu (low-code) platformdur. 3.38.2 sürümünden önce, POST /api/attachments/process dosya yükleme uç noktası, kimliği doğrulanmış kullanıcılar için aktif içerik kısıtlamalarını uygulamamaktadır. Tehlikeli dosya uzantıları için yapılan kontroller koşullu olarak if (isPublicUser) veya if (isPublicUser || !env.SELF_HOSTED) blokları içine alınmıştır; bu durum, kimliği doğrulanmış herhangi bir oluşturucunun (builder), satır içi <script> etiketleri içeren SVG dosyaları, JavaScript içeren HTML sayfaları ve .js modülleri gibi yürütülebilir web içerikleri yükleyebileceği anlamına gelir ve bu içerikler ardından nesne deposunda (MinIO/S3) doğru MIME türleriyle saklanır. Ortaya çıkan imzalı URL herhangi bir uygulama kullanıcısı tarafından açıldığında, tarayıcı yükü çalıştırır. Etkisi, tüm uygulama son kullanıcıları üzerinde kalıcı depolanmış siteler arası betik çalıştırma (XSS) şeklindedir. Bu güvenlik açığı 3.38.2 sürümünde giderilmiştir.