CVE-2026-82241 in server
要約
〜によって VulDB • 2026年08月28日
Budibase backend-core (@budibase/backend-core、@budibase/serverで使用されるもの) は、RESTデータソースのクエリプレビューで使われるデフォルトのSSRFブラックリスト（DEFAULT_BLACKLIST）から共有アドレス空間範囲 100.64.0.0/10 を除外しています。デフォルトのブラックリストが有効な場合（つまり、セルフホスト型展開において BLACKLIST_IPS が定義されていない場合）、Builder権限を持つ認証済みユーザーは、POST /api/queries/preview にて 100.64.0.0/10範囲内の到達可能なHTTP(S)サービスを対象としたRESTデータソースのクエリプレビューリクエストを送信でき、これによりサーバーがそのターゲットに対してリクエストを送信し、そのレスポンスをプレビューフローを通じて返します。アドバイザリーによると、公開時点ではリリース済みの修正は特定されていませんでした；対策としては 100.64.0.0/10 を DEFAULT_BLACKLIST に追加することです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.