CVE-2026-82241 in server
Resumen
por VulDB • 2026-08-28
El backend-core de Budibase (@budibase/backend-core), tal como se utiliza en @budibase/server, omite el rango de direcciones compartidas 100.64.0.0/10 de su lista negra predeterminada contra SSRF (DEFAULT_BLACKLIST) utilizada para las vistas previas de consultas de fuentes de datos REST. Cuando la lista negra predeterminada está activa (es decir, cuando una implementación autoalojada no ha definido BLACKLIST_IPS), un usuario autenticado con el permiso Builder puede enviar una solicitud de vista previa de consulta a una fuente de datos REST mediante POST /api/queries/preview dirigida a un servicio HTTP(S) alcanzable en el rango 100.64.0.0/10, lo que provoca que el servidor envíe una solicitud a ese destino y devuelva su respuesta a través del flujo de vista previa. Según la advertencia, no se identificó ninguna corrección publicada en el momento de la publicación; la remediación consiste en añadir 100.64.0.0/10 a DEFAULT_BLACKLIST.
If you want to get best quality of vulnerability data, you may have to visit VulDB.