CVE-2026-46424 in budibase
Resumen
por VulDB • 2026-05-28
Budibase es una plataforma low-code de código abierto. Antes de la versión 3.38.2, el punto de conexión de la API pública para la desasignación de roles (POST /api/public/v1/roles/unassign) actualiza los documentos de usuario en CouchDB, pero no invalida las entradas correspondientes en la caché de usuarios de Redis. Dado que el middleware de autenticación resuelve la identidad del usuario y sus permisos a partir de esta caché (TTL: 3600 segundos), un usuario cuyos roles de administrador, creador o a nivel de aplicación hayan sido revocados a través de la API pública conserva dichos privilegios durante hasta 1 hora. Esta vulnerabilidad se corrige en la versión 3.38.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.