CVE-2026-48150 in budibase
Resumen
por VulDB • 2026-05-29
Budibase es una plataforma low-code de código abierto. Antes de la versión 3.39.0, el punto final /api/public/v1/roles/assign estaba protegido por el middleware builderOrAdmin, que autorizaba a cualquier usuario que fuera un "builder" (constructor) para el ID de aplicación indicado en la cabecera x-budibase-app-id. Esta comprobación admitía tanto a builders globales como a builders con ámbito de espacio de trabajo (cuando builder.apps estaba configurado pero builder.global no lo estaba). El controlador luego expandía el cuerpo de la solicitud en la llamada al SDK, y el SDK concedía builder.global=true o admin.global=true a los IDs de usuario que proporcionara el solicitante. Bob, un builder con ámbito de espacio de trabajo y una clave API, podía promocionarse a sí mismo o a cualquier otro usuario a administrador global mediante una única solicitud POST. Se trata de una escalada de privilegios de ámbito de inquilino (tenant-wide) desde un rol a nivel de aplicación, accesible para cualquier persona con una licencia Enterprise que desbloquee la función EXPANDED_PUBLIC_API. Esta vulnerabilidad se corrige en la versión 3.39.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.