CVE-2026-54351
Açıklama
Budibase açık kaynaklı bir düşük kodlu (low-code) platformdur. 3.39.9 sürümünden önce, Budibase'deki webhook tetikleyici uç noktası herkese açıktır ve tüm HTTP istek gövdesini otomasyon yürütme parametrelerine aktarmaktadır. externalTrigger() fonksiyonundaki bir kitlesel atama (mass assignment) zafiyeti, saldırganın webhook POST gövdesine dahil ederek dahili appId özelliğini üzerine yazmasına olanak tanır. Otomasyon asenkron olarak işlendiğinde (toplama adımı olmayan webhook'lar için varsayılan yol), worker, saldırgan tarafından tanımlanan otomasyonu mağdurun çalışma alanı bağlamında yürütür ve mağdurun veritabanına tam okuma/yazma erişimi sağlar. Bu zafiyet 3.39.9 sürümünde giderilmiştir.
Nasıl düzeltilir
- budibase budibase3.39.9 ya da sonraki bir sürüm
- @budibase/server3.39.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| budibase budibase | v < 3.39.9 | 3.39.9 |
| @budibase/servernpm | v < 3.39.9 | 3.39.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.