CVE-2026-81335 in Baserow
الملخص
بحسب VulDB • 27/08/2026
يقوم Baserow بإرسال مصدر بيانات من مُنشئ التطبيقات دون النظر إلى نتيجة فحص الصلاحيات الخاص به. تم الإعلان عن طرق العرض dispatch و record-name في backend/src/baserow/contrib/builder/api/data_sources/views.py باستخدام فئة صلاحيات تقبل أي متصل، وبالتالي تصل الطلبات التي لا تحمل شهادات (credentials) إلى المعالج. ثم يستدعي DataSourceService.dispatch_data_sources الموجود في backend/src/baserow/contrib/builder/data_sources/service.py دالة check_multiple_permissions دون طلبها لإثارة استثناء (raise)، ولا يقوم بتخزين أو فحص خريطة الرفضات التي تعيدها، مما يعني أن الفشل في التحقق من الصلاحيات يترك التنفيذ يستمر ويتم إرسال مصدر البيانات بغض النظر عن هوية المتصل. يعمل الإرسال باستخدام شهادات التكامل الخاصة به، لذا يتلقى الطلب غير المصادق عليه الذي يشير إلى مصدر بيانات الصفوف والمجالات التي يقرأها ذلك المصدر. تكون المعرفات أعداداً صحيحة صغيرة ويمكن تعدادها (enumeration). تمرر النسخة 2.3.1 معلمة raise_exception إلى نفس الاستدعاء.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.