Podatności Budibase

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.39.25, POST /api/global/auth/:tenantId/login zwiększał licznik nieudanych prób w packages/worker/src/api/controllers/global/auth.ts tylko dla istniejących użytkowników, podczas gdy packages/worker/src/middleware/emailLockout.ts zwracał X-Account-Locked i Retry-After tylko dla zablokowanych identyfikatorów. Nieuwierzytelniony atakujący mógł porównać odpowiedź po powtarzających się niepowodzeniach, aby wyliczyć prawidłowe adresy e-mail i tymczasowo zablokować prawidłowe konta. Problem został naprawiony w wersji 3.39.25.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.40.0, endpoint POST /api/v2/email na account.budibase.app akceptował kontrolowany przez klienta identyfikator accountId bez powiązania go z uwierzytelnioną sesją, sprawdzając tylko bieżący adres e-mail. Uwierzytelniony atakujący, który zdobędzie identyfikator konta ofiary, może rozpocząć proces zmiany adresu e-mail dla ofiary, otrzymać i przesłać kod weryfikacyjny przez POST /api/v2/email/verification, przenieść adres e-mail ofiary na adres kontrolowany przez atakującego i ukończyć reset hasła jako ofiara. Problem został naprawiony w wersji 3.40.0.

W Budibase przed wersją 3.39.25, endpoint GET /api/global/groups nie wymagał uprawnień buildera ani administratora, co pozwalało uwierzytelnionemu użytkownikowi z rolą BASIC na wyliczenie grup, mapowań ról, członkostw użytkowników, uprawnień buildera i flag grup domyślnych.

Budibase przed wersją 3.38.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w integracji źródła danych REST, która nie waliduje przekierowań HTTP względem czarnej listy IP. Atakujący z rolą Builder może skonfigurować źródło danych REST wskazujące na zewnętrzny serwer, który zwraca przekierowanie na wewnętrzne adresy IP, omijając ochronę czarnej listy i uzyskując dostęp do punktów końcowych metadanych chmury oraz wewnętrznych usług.

Budibase przed wersją 3.39.9 zawiera podatność na atak SSRF z wykorzystaniem DNS rebinding. Uwierzytelnieni użytkownicy z uprawnieniami automatyzacji mogą ominąć czarną listę adresów IP, ponieważ walidacja hosta przed wysłaniem żądania nie jest powiązana z rzeczywistym połączeniem.

Budibase przed wersją 3.39.9 zawiera podatność w punkcie końcowym webhooka, który jest publicznie dostępny i przekazuje pełne ciało żądania HTTP do parametrów automatyzacji. Atakujący może nadpisać wewnętrzną właściwość appId, co pozwala na wykonanie automatyzacji w kontekście ofiary i uzyskanie pełnego dostępu do jej bazy danych.

Budibase przed wersją 3.39.3 udostępnia nieuwierzytelniony endpoint generujący podpisane URL-e S3 PutObject przy użyciu poświadczeń z datasource przestrzeni roboczej. Trasa jest chroniona tylko przez middleware recaptcha i nie wymaga uwierzytelnienia, uprawnień do tabeli, datasource ani dostępu budowniczego.

Podatność w Budibase przed wersją 3.39.0 umożliwia atakującemu trwałe powiązanie konta ofiary z zewnętrzną tożsamością czatu (Slack/Discord/MS Teams) bez zgody użytkownika. Publiczny endpoint nie wymaga uwierzytelnienia ani ochrony CSRF, a atak polega na nakłonieniu uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL.

Budibase przed wersją 3.33.4 zawiera podatność na path traversal w endpointcie uploadu plików wtyczek (POST /api/plugin/upload). Atakujący z uprawnieniami Global Builder może przesłać plik z nazwą zawierającą ../, co pozwala na usunięcie dowolnych katalogów i zapis dowolnych plików w systemie plików.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.33.4 krok automatyzacji bash wykonuje polecenia dostarczone przez użytkownika za pomocą execSync bez odpowiedniej sanityzacji lub walidacji. Dane wejściowe użytkownika są przetwarzane przez processStringSync, co umożliwia interpolację szablonów, potencjalnie pozwalając na wykonanie dowolnych poleceń.

Budibase przed wersją 3.23.25 nie posiada ograniczeń szybkości ani CAPTCHA na endpointcie resetowania hasła. Nieuwierzytelniony atakujący może wielokrotnie wysyłać żądania resetowania hasła dla tego samego adresu e-mail, powodując zalew setkami e-maili.