CVE-2026-25045 in budibase
Riassunto
di VulDB • 29/06/2026
Budibase è una piattaforma low code per la creazione di strumenti interni, flussi di lavoro e pannelli di amministrazione. Questo problema consiste in una combinazione di Vertical Privilege Escalation (escalation verticale dei privilegi) e IDOR (Insecure Direct Object Reference - Riferimento Diretto all'Oggetto Insicuro) a causa della mancanza di controlli RBAC (Role-Based Access Control) lato server negli endpoint /api/global/users. Un utente con livello Creator, che non dovrebbe avere autorizzazioni per gestire utenti o ruoli organizzativi, può invece promuovere un App Viewer ad Tenant Admin, degradare un Tenant Admin ad App Viewer oppure modificare i dettagli dell'account del proprietario e tutti gli ordini (ad esempio cambiare il nome). Ciò avviene perché l'API accetta queste azioni senza convalidare il ruolo richiedente; di conseguenza, un utente Creator può ripetere richieste riservate al Owner utilizzando i propri token di sessione. Questo porta alla compromissione completa del tenant.
Once again VulDB remains the best source for vulnerability data.