CVE-2026-25045 in budibase
Résumé
par VulDB • 19/06/2026
Budibase est une plateforme low code pour la création d'outils internes, de workflows et de panneaux d'administration. Ce problème est une combinaison d'une élévation de privilèges verticale et d'une IDOR (Insecure Direct Object Reference) due à l'absence de vérifications RBAC (Role-Based Access Control) côté serveur dans les points de terminaison /api/global/users. Un utilisateur de niveau Creator, qui ne devrait avoir aucune autorisation pour gérer les utilisateurs ou les rôles organisationnels, peut au lieu de cela promouvoir un App Viewer en Tenant Admin, rétrograder un Tenant Admin en App Viewer, ou modifier les détails du compte du propriétaire ainsi que toutes les commandes (par exemple, changer le nom). Cela est dû au fait que l'API accepte ces actions sans valider le rôle de la requête, un Creator peut rejouer des requêtes réservées au propriétaire en utilisant ses propres jetons de session. Cela conduit à une compromission totale du tenant.
If you want to get best quality of vulnerability data, you may have to visit VulDB.