CVE-2026-82241 in server
Zusammenfassung
von VulDB • 28.08.2026
Der Backend-Kern von Budibase (@budibase/backend-core, wie in @budibase/server verwendet) schließt den gemeinsamen Adressraum 100.64.0.0/10 aus seiner standardmäßigen SSRF-Schwarzen Liste (DEFAULT_BLACKLIST), die für Vorschauen von REST-Datenquellenabfragen verwendet wird. Wenn die Standard-Schwarze Liste aktiv ist (d. h., eine selbst gehostete Bereitstellung hat BLACKLIST_IPS nicht definiert), kann ein authentifizierter Benutzer mit der Builder-Berechtigung eine Anforderung zur Vorschau einer REST-Datenquellenabfrage an POST /api/queries/preview senden, die auf einen erreichbaren HTTP(S)-Dienst im Bereich 100.64.0.0/10 abzielt, wodurch der Server eine Anfrage an dieses Ziel sendet und dessen Antwort über den Vorschau-Flow zurückgibt. Gemäß der Sicherheitsmitteilung wurde zum Zeitpunkt der Veröffentlichung kein veröffentlichter Fix identifiziert; die Abhilfe besteht darin, 100.64.0.0/10 zur DEFAULT_BLACKLIST hinzuzufügen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.