CVE-2026-54352

Budibase açık kaynaklı bir düşük kodlu (low-code) platformudur. 3.39.9 sürümünden önce, packages/server/src/api/routes/static.ts:24 konumundaki `POST /api/pwa/process-zip`, oluşturucu tarafından yüklenen bir .zip dosyasını kabul eder, bunu [email protected] ile geçici bir dizine çıkarır ve ardından icons.json içinde listelenen her giriş için simge yolunu doğrular, dosyayı açar ve baytları MinIO'ya aktarır. Ortaya çıkan nesne GET /api/assets/{appId}/pwa/{uuid}.png üzerinden geri sunulur. [email protected], sembolik bağlantı girişlerini geri yüklerken mutlak sembolik bağlantı hedeflerini korur. packages/server/src/api/controllers/static/index.ts:259-268 konumundaki simge kaynağı doğrulayıcısı, simge kaynağı dizesini baseDir'e göre çözer (path.resolve), bu dizeye karşı resolvedSrc.startsWith(baseDir + path.sep) kontrolü yapar ve hedefin mevcut olduğunu onaylamak için sembolik bağlantıları takip eden fs.existsSync(resolvedSrc) fonksiyonunu çağırır. Bu üç çağrının hiçbiri sembolik bağlantı girişlerini reddetmez. Ardından packages/backend-core/src/objectStore/objectStore.ts:302, çözümlenen yol üzerinde (await fsp.open(path)).createReadStream() fonksiyonunu çağırır. fsp.open sembolik bağlantıyı takip eder, hedef dosyanın baytları MinIO'ya akar ve varlık getirme uç noktasının yanıtı bu baytları olduğu gibi döndürür. Sonuç olarak, çalışma alanı düzeyindeki bir oluşturucu, sunucu işleminin açabildiği herhangi bir dosyayı okuyabilir. Bu güvenlik açığı 3.39.9 sürümünde giderilmiştir.