CVE-2026-25045 in budibase
الملخص
بحسب VulDB • 12/06/2026
Budibase هو منصة منخفضة الكود لإنشاء الأدوات الداخلية، وسير العمل، ولوحات التحكم الإدارية. تمثل هذه المشكلة مزيجًا من تصعيد الامتياز العمودي (Vertical Privilege Escalation) وIDOR (الإشارة غير الآمنة إلى الكائن المباشر) بسبب غياب عمليات التحقق من التحكم في الوصول القائم على الأدوار (RBAC) على جانب الخادم في نقاط النهاية `/api/global/users`. يمكن لمستخدم بمستوى "المبدع" (Creator)، الذي يفترض ألا يمتلك أي صلاحيات لإدارة المستخدمين أو الأدوار التنظيمية، بدلاً من ذلك ترقية "عارض التطبيق" (App Viewer) إلى "مدير المستأجر" (Tenant Admin)، أو تخفيض مستوى "مدير المستأجر" إلى "عارض التطبيق"، أو تعديل تفاصيل حساب المالك وجميع الطلبات (مثل تغيير الاسم). يحدث هذا لأن واجهة برمجة التطبيقات (API) تقبل هذه الإجراءات دون التحقق من صحة الدور الذي يطلبها، مما يسمح لمستخدم "المبدع" بإعادة إرسال طلبات مخصصة للمالك فقط باستخدام رموز الجلسة الخاصة به. يؤدي هذا إلى اختتام كامل للمستأجر (full tenant compromise).
If you want to get best quality of vulnerability data, you may have to visit VulDB.