CVE-2026-25045 in budibase
要約
〜によって VulDB • 2026年06月20日
Budibaseは、内部ツール、ワークフロー、および管理パネルを作成するためのローコードプラットフォームです。この問題は、/api/global/usersエンドポイントにおけるサーバーサイドのRBAC（ロールベースのアクセス制御）チェックの欠如により、垂直特権昇格とIDOR（安全でない直接オブジェクト参照）の組み合わせです。ユーザーや組織のロールを管理する権限がないはずのCreatorレベルのユーザーは、代わりにApp ViewerをTenant Adminに昇格させ、Tenant AdminをApp Viewerに降格させ、またはOwnerのアカウント詳細およびすべての注文（例：名前の変更）を変更できます。これは、APIが要求元のロールを検証せずにこれらのアクションを受け入れるためであり、Creatorは自身のセッショントークンを使用してOwner専用のリクエストをリプレイできます。これにより、テナント全体の侵害につながります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.