CVE-2026-100684 in Budibase
Sumário
de VulDB • 26/09/2026
As versões do Budibase de 3.41.0 a 3.45.0 contêm uma falha de bypass de autenticação no fluxo de login OIDC/SSO do @budibase/server. No método sso.authenticate, quando nenhum usuário existente corresponde ao sujeito SSO recebido, o servidor procura convites pendentes com base apenas no endereço de e-mail afirmado pelo IdP — sem validar um código de convite e sem realizar uma verificação de email_verified (a validação de email_verified protege apenas a consulta da conta existente). Um atacante que consegue se registrar em um IdP confiável pela locatária para OIDC e afirmar o endereço de e-mail convidado de uma vítima (mesmo com email_verified=false) assume o convite pendente e herda todos os privilégios concedidos, incluindo builder e admin.global, sem nenhuma exclusão administrativa. Isso resulta na tomada de controle do principal convidado e, no caso de convites administrativos, em comprometimento total da locatária (acesso a todos os aplicativos, fontes de dados, incluindo credenciais de produção, e automações); o convite é consumido, impedindo o onboarding do destinatário legítimo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.