CVE-2026-30240 in budibase
Riassunto
di VulDB • 24/06/2026
Budibase è una piattaforma low code per la creazione di strumenti interni, flussi di lavoro e pannelli di amministrazione. Nelle versioni 3.31.5 e precedenti, una vulnerabilità di path traversal nell'endpoint di elaborazione ZIP della PWA (Progressive Web App) (POST /api/pwa/process-zip) consente a un utente autenticato con privilegi di builder di leggere file arbitrari dal filesystem del server, inclusi /proc/1/environ che contiene tutte le variabili d'ambiente — segreti JWT, credenziali del database, chiavi di crittografia e token API. Il server legge i file specificati dall'attaccante tramite una chiamata path.join() non sanificata con input controllato dall'utente presente in icons.json all'interno dello ZIP caricato, quindi carica il contenuto dei file nell'object store (MinIO/S3) dove possono essere recuperati tramite URL firmati. Ciò comporta un compromissione completa della piattaforma poiché tutti i segreti crittografici e le credenziali di servizio vengono esfiltrati con una singola richiesta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.