CVE-2026-46425

Krytyczne

Opublikowano: 27/05/2026(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.38.2 brakowało kontroli ról w routerze SCIM, co pozwalało każdemu uwierzytelnionemu użytkownikowi na wykonywanie operacji CRUD na użytkownikach i grupach w tenantach.

Ocena ryzyka

Brak kontroli ról stwarza ryzyko nieautoryzowanego dostępu do danych użytkowników i grup, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.

Rekomendacja

Zaleca się aktualizację do wersji 3.38.2 lub nowszej, aby zabezpieczyć system przed tą podatnością.

Oryginalny opis (angielski, źródło NVD)

Budibase is an open-source low-code platform. Prior to 3.38.2, packages/worker/src/api/routes/global/scim.ts attaches only two middlewares to the SCIM router: requireSCIM (checks the Enterprise feature flag and SCIM config) and doInScimContext (sets the SCIM request context). There is no role check. Any authenticated user who reaches the worker (BASIC role, workspace-scoped builder, anyone) can call SCIM endpoints and CRUD every user and group in the tenant. This vulnerability is fixed in 3.38.2.