CVE-2026-50137: Budibase: falta de autorização em endpoint de URL de upload S3
As versões do Budibase anteriores à 3.39.0 expõem um endpoint de URL de upload de anexos sem verificação de autorização. Um chamador anônimo que identifique um workspace e uma fonte de dados S3 pode obter uma URL de escrita pré-assinada com as credenciais da fonte. O registro indica que a falha foi corrigida na 3.39.0 e não consta no CISA KEV.
Visão geral
O Budibase é uma plataforma low-code de código aberto. Segundo o registro, as versões anteriores à 3.39.0 contêm uma falha de falta de autorização (CWE-862) em um endpoint de URL de upload de anexos que pode ser acessado sem autenticação. Consulte o aviso de segurança no GitHub.
Impacto
- Chamadores não autenticados que conheçam ou consigam enumerar o identificador de um workspace e o de uma fonte de dados S3 podem obter uma URL de upload pré-assinada e de curta duração, assinada com as credenciais de nuvem armazenadas na fonte.
- Como o bucket não está vinculado ao bucket configurado na fonte de dados, o alcance pode se estender a outros buckets em que essas credenciais tenham permissão de escrita.
- A NVD informa pontuação CVSS 3.1 de 9.4. O GitHub informa pontuação CVSS 4.0 de 8.2.
Produtos e versões afetados
- Budibase, em versões anteriores à 3.39.0.
- O registro indica que a falha foi corrigida na 3.39.0.
Status de exploração
O CISA KEV não lista este CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A referência do GitHub está marcada como Exploit no registro, mas essa marcação não confirma exploração ativa.
Remediação e mitigação
- Atualize o Budibase para a versão 3.39.0 ou superior, conforme indicado no registro.
- Revise o aviso do fornecedor, que o registro lista como referência de mitigação, em busca de medidas provisórias.
- Até concluir a atualização, limite a exposição de rede das instâncias afetadas.
- Se houver suspeita de comprometimento, rotacione as credenciais de nuvem armazenadas nas fontes de dados S3.
- Restrinja as permissões IAM das fontes de dados ao mínimo de buckets e ações necessários.
Orientação para detecção
- Revise os logs da aplicação e do servidor web em busca de requisições não autenticadas às rotas de URL de upload de anexos, especialmente vindas de clientes que não são navegadores.
- Monitore os logs de armazenamento em nuvem em busca de gravações em buckets que a implantação do Budibase normalmente não utiliza.
- Investigue requisições que referenciem identificadores de workspace ou de fonte de dados de forma inesperada.
Limitações das informações disponíveis
- O registro informa apenas a faixa anterior à 3.39.0 e não detalha outras versões afetadas.
- A entrada de correção está tipada como mitigação, enquanto a descrição afirma que a correção está na 3.39.0. As fontes consultadas não trazem mais detalhes.
- O registro não contém pontuação CVSS 4.0 da NVD.
- O EPSS apresenta probabilidade de 0.00415 e percentil de 0.33995, datados de 2026-10-13 no registro.
- A exploração prática depende de detalhes de implantação que o registro não fornece.
Perguntas frequentes
Quais versões do Budibase são afetadas pelo CVE-2026-50137?
O registro indica como afetadas as versões do Budibase anteriores à 3.39.0. A descrição afirma que a falha foi corrigida na 3.39.0.
Há registro de exploração ativa desta vulnerabilidade?
O registro mostra que o CVE não consta no CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualize o Budibase para a versão 3.39.0 ou superior, limite a exposição de rede até concluir a atualização e rotacione as credenciais das fontes de dados S3 se houver suspeita de comprometimento.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.