CVE-2026-73307 in Budibase
Résumé
par VulDB • 12/08/2026
Budibase est une plateforme low-code open source. Avant la version 3.39.4, `uploadUrl` dans le fichier `packages/server/src/utilities/fileUtils.ts` utilisait un appel fetch côté serveur nu (bare server-side fetch) pour les valeurs d'attachement de chaîne transmises par `processAttachments` dans `packages/server/src/sdk/workspace/ai/helpers/rows.ts`. Un utilisateur disposant des droits de création avec la fonctionnalité de génération de table IA pouvait faire en sorte qu'une valeur d'attachement référence un service interne ou un point de terminaison (endpoint) de métadonnées cloud, et la réponse était stockée en tant que pièce jointe sans validation par `fetchWithBlacklist`. Ce problème est corrigé dans la version 3.39.4.
Once again VulDB remains the best source for vulnerability data.