CVE-2026-100681 in Budibase
Sumário
de VulDB • 26/09/2026
O Budibase anterior à versão 3.45.0 contém uma vulnerabilidade de Server-Side Request Forgery (SSRF) não autenticada e exfiltração de credenciais no endpoint do webhook do Microsoft Teams, que aceita atividades falsificadas do Bot Framework com valores arbitrários de serviceUrl. Os atacantes podem enviar um POST manipulado para injetar um serviceUrl controlado pelo atacante, que é persistido e utilizado em todas as respostas subsequentes do bot, fazendo com que o servidor envie tokens de acesso OAuth ao vivo do Microsoft nos cabeçalhos Authorization para o host do atacante, permitindo também acesso cego à rede interna.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.