CVE-2026-54352: Budibase: path traversal via links simbólicos no upload de ícones PWA
O Budibase anterior à versão 3.39.9 permite que um builder com acesso ao workspace envie um .zip cujas entradas de ícone sejam links simbólicos, levando o servidor a ler arquivos que o processo consegue abrir e a publicá-los por meio de um endpoint de assets. O registro classifica a severidade como crítica (CVSS 3.1, pontuação base 9.6), com impacto alto de confidencialidade e integridade. Não há inclusão no KEV nem exploração confirmada nas fontes consultadas, e o registro indica que a correção está na versão 3.39.9.
Visão geral
O Budibase é uma plataforma low-code de código aberto. De acordo com o aviso do GitHub citado no registro, as versões anteriores à 3.39.9 apresentam uma fraqueza de path traversal no fluxo de processamento de ícones PWA, em que links simbólicos dentro de um arquivo enviado são seguidos ao ler o destino. A fraqueza é classificada como CWE-22 (Path Traversal).
Impacto
- O registro atribui pontuação 9.6 (crítica) ao problema, no padrão CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N.
- Pelo vetor, o impacto em confidencialidade e integridade é classificado como alto, e o impacto em disponibilidade como nenhum.
- O registro descreve o resultado como a capacidade de um builder ler arquivos que o processo do servidor consegue abrir, com o conteúdo acessível pelo endpoint de assets.
Produtos e versões afetadas
- Budibase Budibase: versões anteriores à 3.39.9.
- O registro não lista outras faixas de versões afetadas.
Status de exploração
O CVE não consta no KEV da CISA segundo o registro. Não há exploração ativa confirmada nas fontes consultadas. A referência ao aviso do GitHub está marcada como Exploit no registro, mas essa marcação, por si só, não comprova que houve exploração. A probabilidade EPSS no registro é 0.00494, com percentil de 0.4071.
Correção e mitigação
- Atualize o Budibase para a versão 3.39.9 ou posterior, indicada no registro como versão corrigida.
- Restrinja o papel de builder a usuários de confiança até que a atualização seja aplicada, já que o registro exige uma conta com esse papel.
- Revise os uploads recentes de ícones PWA e a atividade das contas de builder em busca de algo inesperado.
- Consulte o aviso do GitHub para orientações do fornecedor.
Orientações de detecção
- Revise os logs da aplicação em busca de uploads no endpoint de processamento PWA e de requisições de assets feitas por contas de builder.
- Quando arquivos forem processados por ferramentas próprias, inspecione as entradas em busca de links simbólicos antes da extração e rejeite arquivos que os contenham.
- Monitore gravações inesperadas no armazenamento de objetos e tipos de conteúdo incomuns em assets.
Limitações das informações disponíveis
- O registro de origem não possui título, por isso os títulos aqui foram derivados da descrição.
- O registro não traz itens na lista de correções nem referência a commit de correção, além da afirmação de que a 3.39.9 corrige o problema.
- O registro não descreve as condições exatas de exploração nem confirma se existe código de exploração público.
- A ausência de inclusão no KEV não confirma que não há exploração.
Perguntas frequentes
Qual é a vulnerabilidade no Budibase?
Uma fraqueza de path traversal no fluxo de processamento de ícones PWA permite que links simbólicos em um arquivo enviado sejam seguidos, de modo que arquivos que o processo do servidor consegue abrir podem ser lidos e devolvidos por um endpoint de assets.
Quais versões são afetadas?
O registro lista as versões do Budibase anteriores à 3.39.9 como afetadas e indica que o problema está corrigido na 3.39.9.
Esta vulnerabilidade está sendo explorada?
O CVE não consta no KEV da CISA segundo o registro, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.