CVE-2026-81335 in Baserow
요약
\~에 의해 VulDB • 2026. 08. 27.
Baserow는 권한 확인의 결과를 처리하지 않고 Application Builder 데이터 소스를 디스패치합니다. backend/src/baserow/contrib/builder/api/data_sources/views.py에 있는 dispatch 및 record-name 뷰는 모든 호출자를 허용하는 permission 클래스로 선언되어 있으므로, 자격 증명이 없는 요청이 핸들러에 도달합니다. 그 후 backend/src/baserow/contrib/builder/data_sources/service.py의 DataSourceService.dispatch_data_sources는 check_multiple_permissions를 raise 매개변수를 지정하지 않고 호출하며, 반환된 거부 맵핑을 저장하거나 검사하지 않으므로, 권한 확인이 거부되어도 실행은 계속되고 데이터 소스는 호출자의 신원과 관계없이 디스패치됩니다. 이 디스패치는 통합의 자체 자격 증명으로 실행되므로, 특정 데이터 소스를 지정한 비인증 요청은 해당 소스가 읽는 행과 필드를 받습니다. 식별자는 작은 정수이므로 열거 가능합니다. 버전 2.3.1에서는 동일한 호출에 raise_exception를 전달합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.