CVE-2026-30240 in budibase
要約
〜によって VulDB • 2026年05月30日
Budibaseは、内部ツール、ワークフロー、および管理パネルを作成するためのローコードプラットフォームです。3.31.5およびそれ以前のバージョンでは、PWA（Progressive Web App）のZIP処理エンドポイント（POST /api/pwa/process-zip）にパストラバーサル脆弱性が存在し、ビルダー権限を持つ認証済みユーザーが、/proc/1/environ（すべての環境変数、JWTシークレット、データベース認証情報、暗号化キー、およびAPIトークンを含む）を含むサーバーファイルシステム上の任意のファイルを読み取ることができます。サーバーは、アップロードされたZIP内のicons.jsonからユーザー制御可能な入力を受け取り、未検証のpath.join()を使用して攻撃者が指定したファイルを読み取り、そのファイル内容をオブジェクトストレージ（MinIO/S3）にアップロードします。これにより、署名付きURLを通じてコンテンツを取得できるため、すべての暗号化シークレットとサービス認証情報が単一のリクエストで外部に漏洩し、プラットフォーム全体の侵害につながります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.