CVE-2026-72850: Budibase anterior à 3.40.0: escrita arbitrária de arquivos via path traversal
A CVE-2026-72850 afeta o Budibase Server em versões anteriores à 3.40.0, nas quais as chaves de objetos S3 não são devidamente sanitizadas. Um builder autenticado pode enviar arquivos cujas sequências de travessia permanecem após a exportação do workspace, o que pode permitir gravações fora do diretório temporário previsto. O registro classifica a severidade como crítica, com CVSS 9.1, mas nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-72850 é uma fragilidade de path traversal (CWE-22) no Budibase Server anterior à versão 3.40.0. Segundo o registro, as chaves de objetos S3 não são devidamente sanitizadas, e sequências de travessia em nomes de arquivos enviados são mantidas na exportação do workspace. A CNA é a VulnCheck, e o aviso do fornecedor é o GHSA-pxwc-66g3-5f27.
Impacto
O registro descreve escrita arbitrária de arquivos: o conteúdo pode ser gravado em qualquer caminho em que o processo do Budibase tenha permissão de escrita. A pontuação base CVSS 3.1 é 9.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado. Também consta uma pontuação de 9.4 da VulnCheck na métrica CVSS 4.0.
- Pré-condição registrada: o atacante precisa ser um builder autenticado.
- Os campos SSVC do registro indicam exploração em nível de prova de conceito, automatizável como não e impacto técnico total.
Produtos e versões afetadas
- Produto: Budibase Server.
- Faixa afetada no registro: anterior à 3.40.0.
- Versão corrigida permitida listada no registro: 3.40.0.
O registro não traz entradas separadas de versões corrigidas, portanto 3.40.0 é o limite indicado pela faixa afetada. Não está informado se todas as edições ou modos de implantação são cobertos.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, então o registro não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00518 (percentil 0.43207), e o campo de exploração SSVC está como poc.
Correção e mitigação
- Atualize o Budibase Server para a versão 3.40.0 ou posterior, seguindo o aviso do fornecedor.
- Até a atualização, restrinja contas de builder a usuários confiáveis e revise quem pode enviar arquivos e exportar workspaces.
- Limite as permissões de sistema de arquivos do processo do Budibase, de modo que ele só possa gravar nos diretórios necessários.
- Consulte o aviso do fornecedor para orientações adicionais: GitHub Security Advisory.
Orientações de detecção
- Revise os logs de auditoria em busca de uploads incomuns feitos por contas de builder, especialmente nomes de arquivo com segmentos de caminho inesperados.
- Monitore as exportações de workspaces e verifique arquivos gravados fora dos locais temporários ou de exportação esperados.
- Observe alterações inesperadas em arquivos de aplicação ou de sistema gravados pelo processo do Budibase.
Limitações das informações disponíveis
O registro não confirma versões corrigidas além da faixa afetada, não traz detalhes de prova de conceito e não informa cronograma de exploração. O aviso de terceiros da VulnCheck está listado, mas seu conteúdo não faz parte deste registro. Se o problema é explorado fora das fontes consultadas é algo desconhecido.
Perguntas frequentes
O que é a CVE-2026-72850?
É uma vulnerabilidade de path traversal no Budibase Server anterior à 3.40.0 que pode levar à escrita arbitrária de arquivos durante a exportação do workspace, segundo o registro.
Qual versão corrige o problema?
O registro indica 3.40.0 como limite da faixa afetada, então a atualização para 3.40.0 ou posterior é a correção esperada. Confirme no aviso do fornecedor.
Há exploração ativa?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.