CVE-2026-81335

Baserow, bir Application Builder veri kaynağını, izin kontrolünün sonucuna göre işlem yapmadan gönderir. backend/src/baserow/contrib/builder/api/data_sources/views.py dosyasındaki dispatch ve record-name görünümleri, herhangi bir çağırıcıyı kabul eden bir izin sınıfı ile tanımlanmıştır; bu nedenle kimlik bilgisi içermeyen bir istek işleyiciye ulaşır. Ardından backend/src/baserow/contrib/builder/data_sources/service.py dosyasındaki DataSourceService.dispatch_data_sources, check_multiple_permissions fonksiyonunu hata fırlatmasını istemeden çağırır ve döndürülen ret eşlemesini ne saklar ne de inceler; böylece reddedilen bir kontrol yürütmenin devam etmesine neden olur ve çağırıcının kimliği ne olursa olsun veri kaynağı gönderilir. Gönderim işlemi entegrasyonun kendi kimlik bilgileriyle çalışır, dolayısıyla bir veri kaynağını belirten kimlik doğrulaması yapılmamış bir istek, söz konusu kaynağın okuduğu satırları ve alanları alır. Tanımlayıcılar küçük tam sayılardır ve numaralandırılabilirler. Versiyon 2.3.1 aynı çağrıya raise_exception parametresini iletir.