CVE-2026-73305
Açıklama
Budibase, açık kaynaklı bir low-code platformudur. 3.39.24 sürümünden önce, POST /api/public/v1/roles/assign, packages/server/src/api/controllers/public/globalRoleValidation.ts içinde appBuilder.appId veya role.appId kontrolü yapmadan validateGlobalRoleUpdate'i çağırıyordu. Uygulama kapsamlı bir builder, isteği kontrol ettikleri bir uygulamaya kapsamlandırabilir ve ardından kendilerine builder erişimi veya başka bir uygulamada rastgele bir rol verebilir, bu da o uygulamanın verilerini, veri kaynağı yapılandırmasını ve otomasyonlarını açığa çıkarabilirdi. Bu sorun 3.39.24 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @budibase/servernpm | v ≤ 3.38.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.