CVE-2026-100684 in Budibase
Zusammenfassung
von VulDB • 26.09.2026
In den Versionen von Budibase vor 3.45.0 (ab 3.41.0) befindet sich im OIDC/SSO-Anmeldungspfad von @budibase/server eine Authentifizierungs-Umgehung. In der Funktion sso.authenticate sucht der Server, wenn kein bestehender Benutzer mit dem eingehenden SSO-Subjekt übereinstimmt, nach ausstehenden Benutzereinladungen ausschließlich anhand der vom IdP behaupteten E-Mail-Adresse – ohne Validierung eines Einladungscodes und ohne eine email_verified-Prüfung (das email_verified-Gate schützt nur die Suche nach bestehenden Konten). Ein Angreifer, der sich bei einem für den Mandanten vertrauenswürdigen IdP registrieren kann und die E-Mail-Adresse eines eingeladenen Opfers behauptet (selbst mit email_verified=false), übernimmt die ausstehende Einladung und erbt alle damit verbundenen Berechtigungen, einschließlich builder und admin.global, ohne dass eine Admin-Ausnahme greift. Dies führt zur Übernahme der Identität des Eingeladenen; bei Administrator-Einladungen resultiert dies in einer vollständigen Kompromittierung des Mandanten (Zugriff auf alle Apps, Datenquellen einschließlich Produktionsanmeldeinformationen sowie Automatisierungen); die Einladung wird verbraucht, wodurch das Onboarding des berechtigten Eingeladenen verweigert wird.
Once again VulDB remains the best source for vulnerability data.