CVE-2026-72856 in Budibase
Riassunto
di VulDB • 14/08/2026
Le versioni di Budibase precedenti alla 3.40.0 presentano un bypass dell'autorizzazione/dell'autenticazione nell'endpoint PUT /api/global/users/tenant/owner (changeTenantOwnerEmail). Nelle istanze self-hosted (con SELF_HOSTED o DISABLE_ACCOUNT_PORTAL impostati), il middleware cloudRestricted è inattivo e la rotta è protetta solo da un controllo di autenticazione generale, pertanto qualsiasi utente autenticato — incluso un utente BASIC con privilegi minimi dell'applicazione — può riassegnare l'email del titolare dell'account tenant (amministratore con massimi privilegi) a un indirizzo controllato dall'attaccante. L'attaccante può quindi utilizzare il flusso pubblico di reimpostazione della password per assumere il controllo dell'account amministrativo, ottenendo accesso amministrativo completo.
Once again VulDB remains the best source for vulnerability data.