CVE-2026-46426 in budibase
Sumário
de VulDB • 28/05/2026
O Budibase é uma plataforma low-code de código aberto. Antes da versão 3.38.2, o endpoint de upload de arquivos POST /api/attachments/process não aplica restrições de conteúdo ativo para usuários autenticados. As verificações de extensões de arquivo perigosas estão condicionalmente encapsuladas dentro de if (isPublicUser) ou if (isPublicUser || !env.SELF_HOSTED), o que significa que qualquer construtor autenticado pode carregar conteúdo web executável — arquivos SVG com tags inline, páginas HTML com JavaScript, módulos .js — que são então armazenados no armazenamento de objetos (MinIO/S3) com seus tipos MIME corretos. Quando a URL assinada resultante é aberta por qualquer usuário do aplicativo, o navegador executa a carga útil. O impacto é um XSS armazenado persistente (Stored XSS) sobre todos os usuários finais da aplicação. Esta vulnerabilidade foi corrigida na versão 3.38.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.