CVE-2026-25737: Budibase: upload arbitrário de arquivos que contorna restrições apenas na interface

Visão geral

A CVE-2026-25737 é uma fraqueza de upload de arquivos no Budibase, uma plataforma low code usada para criar ferramentas internas, fluxos de trabalho e painéis administrativos. Segundo o registro, existem restrições de extensão de arquivo no produto, mas elas são aplicadas apenas na interface do usuário, o que significa que o servidor não bloqueia de forma confiável os arquivos não permitidos.

Impacto

O registro afirma que um atacante pode contornar as restrições da interface e enviar arquivos maliciosos.
O registro associa a falha ao CWE-79 (Cross-site Scripting). O título do registro também menciona SSRF e XSS armazenado, mas as fontes consultadas não descrevem esses efeitos em detalhes.
O NVD classifica a falha com nota 9.0 (crítica), com vetor CVSS 3.1 que inclui alto impacto em confidencialidade, integridade e disponibilidade, além de mudança de escopo. O GitHub atribui nota 8,9.

Produtos e versões afetadas

Produto: Budibase (Budibase).
Afetado: 3.24.0 e anteriores.
Nenhuma versão corrigida consta no registro. Isso não significa que não exista correção; o status da correção é desconhecido nas fontes analisadas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto não há registro de exploração ativa confirmada ali.
Os dados SSVC do registro classificam a exploração como prova de conceito, e a referência do aviso está marcada como relacionada a exploit. Nas fontes consultadas não há exploração confirmada na natureza.

Correção e mitigação

Verifique se a implantação do Budibase usa a versão 3.24.0 ou anterior e planeje a atualização para uma versão que inclua a correção do fornecedor, seguindo o aviso do GitHub.
Não dependa de validações de tipo de arquivo feitas na interface. Aplique validação de tipo, tamanho e conteúdo no servidor.
Restrinja quem pode enviar arquivos para as ferramentas internas e revise os arquivos já armazenados em busca de tipos inesperados.
Sirva arquivos enviados com tipos de conteúdo seguros e cabeçalhos de segurança restritivos, evitando renderizar arquivos fornecidos por usuários no mesmo contexto da aplicação.

Orientações de detecção

Revise os logs da aplicação e do armazenamento em busca de envios com extensões ou tipos MIME inesperados, principalmente de contas com pouco privilégio.
Procure arquivos enviados que depois são acessados ou renderizados em um navegador.
Monitore conexões de saída do servidor Budibase para destinos incomuns, considerando a menção a SSRF no título do registro, embora os detalhes do SSRF não tenham sido verificados.

Limitações das informações disponíveis

O registro não informa versão corrigida, não traz detalhes de prova de conceito além do rótulo SSVC e não descreve tecnicamente a forma de contorno.
Os efeitos de SSRF e XSS armazenado citados no título não são descritos no campo de descrição.
O valor EPSS é baixo (probabilidade de 0,00398), mas é uma estimativa estatística e não altera a gravidade da falha.

Perguntas frequentes

Quais versões do Budibase são afetadas pela CVE-2026-25737?

O registro indica o Budibase na versão 3.24.0 e anteriores. Nenhuma versão corrigida consta nas fontes analisadas, então consulte o aviso do GitHub para o status atual da correção.

Por que um atacante consegue contornar as restrições de arquivo?

Segundo o registro, as restrições de extensão são aplicadas somente na interface e não de forma confiável no servidor, o que permite enviar arquivos não permitidos.

Há registro de exploração ativa dessa vulnerabilidade?

A CVE não consta no catálogo KEV da CISA e nas fontes consultadas não há exploração confirmada na natureza. Os dados SSVC classificam a exploração como prova de conceito.

O que os administradores devem fazer agora?

Confirmar se a implantação usa a versão 3.24.0 ou anterior, planejar a atualização conforme o aviso do fornecedor, aplicar validação de arquivos no servidor e restringir quem pode enviar arquivos.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.