CVE-2026-72859

Yüksek

Açıklama

3.40.0 öncesindeki 3.39.4 Budibase sürümleri, S3 ek dosya yükleme uç noktasında, BASIC kullanıcılarının ek dosyalar uç noktasına POST istekleri göndererek S3 PutObject ön imzalı URL'leri elde etmelerine izin veren bir yetkilendirme gerilemesi içermektedir. Rota, BUILDER izin kontrolünden, BASIC kullanıcılarının varsayılan olarak sahip olduğu TABLE/WRITE kontrolüne değiştirilmiştir. Saldırganlar, saklanan IAM kimlik bilgileri tarafından erişilebilen herhangi bir kovaya yazmak için ön imzalı URL'ler oluşturmak amacıyla istek gövdesinde rastgele S3 kovaları belirterek yetkisiz dosya yüklemeleri gerçekleştirebilirler.

ÖnemYüksek

CVSS7.7

İstismar olasılığı—

Ürün@budibase/server

Yayın14 Ağu 2026

İlk görülme14 Ağu 2026

Zayıflık türüCWE-863Hatalı yetki denetimi

Nasıl düzeltilir

Üretici duyuruları

github.com/Budibase/budibase/security/advisories/GHSA-xcx6-4f2g-hhgx

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
@budibase/servernpm	v ≤ 3.38.1	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.