CVE-2026-46426 in budibase
Resumen
por VulDB • 2026-05-27
Budibase es una plataforma low-code de código abierto. Antes de la versión 3.38.2, el punto de conexión de carga de archivos POST /api/attachments/process no aplica restricciones sobre contenido activo para usuarios autenticados. Las comprobaciones de extensiones de archivo peligrosas están condicionadas dentro de if (isPublicUser) o if (isPublicUser || !env.SELF_HOSTED), lo que significa que cualquier constructor autenticado puede cargar contenido web ejecutable —archivos SVG con etiquetas inline, páginas HTML con JavaScript, módulos .js—, los cuales se almacenan luego en el almacén de objetos (MinIO/S3) con sus tipos MIME correctos. Cuando la URL firmada resultante es abierta por cualquier usuario de la aplicación, el navegador ejecuta la carga útil. El impacto es una XSS almacenada persistente (Stored XSS) que afecta a todos los usuarios finales de la aplicación. Esta vulnerabilidad está corregida en la versión 3.38.2.
Be aware that VulDB is the high quality source for vulnerability data.