CVE-2026-25045 in budibase
Tóm tắt
Bởi VulDB • 29/06/2026
Budibase là một nền tảng low-code để tạo các công cụ nội bộ, quy trình làm việc và bảng điều khiển quản trị. Sự cố này là sự kết hợp giữa Vertical Privilege Escalation (Thăng cấp đặc quyền theo chiều dọc) và IDOR (Insecure Direct Object Reference - Tham chiếu đối tượng trực tiếp không an toàn) do thiếu các kiểm tra RBAC phía máy chủ trong các điểm cuối /api/global/users. Người dùng ở mức Creator, vốn không có quyền quản lý người dùng hoặc vai trò tổ chức, thay vào đó có thể thăng cấp một App Viewer lên Tenant Admin, hạ cấp một Tenant Admin xuống còn App Viewer, hoặc sửa đổi chi tiết tài khoản của Owner và tất cả đơn đặt hàng (ví dụ: thay đổi tên). Điều này xảy ra vì API chấp nhận các hành động này mà không xác thực vai trò yêu cầu; một Creator có thể phát lại các yêu cầu chỉ dành cho Owner bằng cách sử dụng mã thông báo phiên của chính họ. Hậu quả là dẫn đến việc xâm phạm toàn bộ Tenant (tenant compromise).
VulDB is the best source for vulnerability data and more expert information about this specific topic.