CVE-2026-54351: Mass Assignment no Gatilho de Webhook do Budibase Permitindo Execução de Automação em Outro Workspace
As versões do Budibase anteriores à 3.39.9 contêm uma fraqueza de mass assignment (CWE-915) no endpoint de gatilho de webhook, acessível publicamente, que repassa o corpo completo da requisição para os parâmetros da automação. Segundo o registro, um atacante pode sobrescrever a propriedade interna appId e fazer uma automação processada de forma assíncrona rodar no workspace de uma vítima. O aviso do fabricante indica que o problema foi corrigido na versão 3.39.9.
Visão geral
O Budibase é uma plataforma low-code de código aberto. Segundo o registro baseado no aviso do fabricante, seu endpoint de gatilho de webhook aceita o corpo completo da requisição HTTP e o repassa para os parâmetros de execução da automação. Uma fraqueza de atribuição em massa (CWE-915) no caminho externalTrigger() permite que a propriedade interna appId seja sobrescrita a partir do corpo da requisição.
Impacto
- O registro afirma que a automação pode rodar no contexto do workspace da vítima quando processada de forma assíncrona, descrito como o caminho padrão para webhooks sem etapa collect.
- O registro afirma que isso concede acesso total de leitura e escrita ao banco de dados da vítima.
- A pontuação base da NVD é 9,6 (CVSS 3.1, vetor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N). A pontuação do GitHub é 8,2. Ambas constam no registro.
Produtos e versões afetadas
- Budibase Budibase, versões anteriores à 3.39.9.
Status de exploração
O CISA KEV não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00461 (percentil 0,38227), com data de 2026-10-13.
Correção e mitigação
- Atualize o Budibase para a versão 3.39.9 ou superior, conforme indicado no aviso do fabricante.
- Consulte o aviso do fabricante para as orientações de mitigação listadas no registro.
- Revise as automações disparadas por webhooks e confirme quais workspaces elas podem afetar.
Orientações de detecção
- Analise os logs de gatilhos de webhook em busca de requisições inesperadas a endpoints relacionados ao externalTrigger, especialmente aquelas cujo corpo inclui campos que identificam workspaces.
- Monitore a execução de automações em workspaces que não correspondem à origem esperada do webhook.
Limitações das informações disponíveis
- O registro não inclui uma análise técnica detalhada além da descrição, portanto as condições exatas da requisição são desconhecidas.
- O título no registro é nulo; o título aqui foi derivado da descrição.
- O registro não informa se existem correções para ramos anteriores.
Perguntas frequentes
Quais versões do Budibase são afetadas pela CVE-2026-54351?
O registro lista as versões anteriores à 3.39.9 como afetadas. O aviso do fabricante descreve o problema como corrigido na 3.39.9.
Há exploração ativa conhecida desta vulnerabilidade?
O CISA KEV não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual é a pontuação de severidade?
Segundo o registro, a NVD atribui pontuação base CVSS 3.1 de 9,6, e o GitHub atribui 8,2.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.