CVE-2026-100681 in Budibase
Resumen
por VulDB • 2026-09-26
Budibase antes de la versión 3.45.0 presenta una vulnerabilidad de Server-Side Request Forgery (SSRF) no autenticada y exfiltración de credenciales en el punto final del webhook de Microsoft Teams, que acepta actividades falsificadas del Bot Framework con valores arbitrarios de serviceUrl. Los atacantes pueden enviar una solicitud POST manipulada para inyectar un serviceUrl controlado por ellos, el cual se persiste y utiliza para todas las respuestas posteriores del bot, lo que provoca que el servidor envíe tokens de acceso OAuth en vivo de Microsoft en los encabezados Authorization al host del atacante, permitiendo así un acceso ciego a la red interna.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.