CVE-2026-73301
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Budibase przed wersją 3.39.25, endpoint GET /api/global/groups nie wymagał uprawnień buildera ani administratora, co pozwalało uwierzytelnionemu użytkownikowi z rolą BASIC na wyliczenie grup, mapowań ról, członkostw użytkowników, uprawnień buildera i flag grup domyślnych.
Ocena ryzyka
Ujawnienie struktury kontroli dostępu może pomóc atakującemu w eskalacji uprawnień lub dalszych atakach.
Rekomendacja
Zaleca się aktualizację Budibase do wersji 3.39.25 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Budibase is an open-source low-code platform. Prior to 3.39.25, the GET /api/global/groups endpoint in packages/worker/src/api/routes/global/groups.ts omitted auth.builderOrAdmin, allowing an authenticated BASIC role user to enumerate tenant groups, role mappings and user memberships, builder permissions, and default-group flags. The disclosure exposes the tenant access-control structure to users who are not builders or administrators. This issue is fixed in version 3.39.25.