Base de CVEs

Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.0, um atacante anônimo que conheça ou consiga enumerar o identificador de um workspace (app_...) e o identificador de uma fonte de dados do tipo S3 (ds_...) pode chamar este endpoint sem autenticação e obter uma URL pré-assinada de PUT válida por 15 minutos, gerada com a identidade IAM da vítima. O endpoint também retorna a publicUrl, de modo que o atacante sabe exatamente onde seu PUT será gravado. Como o bucket é controlado pelo atacante, ele pode gravar em qualquer bucket que essas credenciais IAM tenham permissão de escrita, e não apenas no bucket configurado para a fonte de dados. A rota do servidor Budibase POST /api/attachments/:datasourceId/url (packages/server/src/api/routes/static.ts) é registrada apenas com o middleware recaptcha. Não há middleware authorized(...) na cadeia. O controlador (packages/server/src/api/controllers/static/index.ts::getSignedUploadURL) consulta a fonte de dados, instancia um cliente AWS S3 com o accessKeyId / secretAccessKey armazenados na fonte e retorna uma URL pré-assinada PutObjectCommand do AWS Signature V4 para o bucket e a chave informados pelo chamador. O bucket não está vinculado ao bucket configurado na fonte de dados. O contexto de workspace exigido por sdk.datasources.get é obtido por getWorkspaceIdFromCtx (packages/backend-core/src/utils/utils.ts) a partir de qualquer um destes: o cabeçalho x-budibase-app-id, o campo appId do corpo JSON, um segmento de caminho que começa com o prefixo do workspace, ou ?appId=. auth.buildAuthMiddleware([], { publicAllowed: true }) é executado antes de tudo isso e permite explicitamente requisições anônimas. O ramo "deny access to dev preview" do middleware currentWorkspace só é acionado quando isBrowser(ctx) && !isApiKey(ctx); isBrowser verifica o User-Agent analisado para identificar um navegador reconhecido, de modo que qualquer cliente que não seja navegador (curl, o PoC fornecido, qualquer ferramenta que não defina um User-Agent de navegador) não é considerado navegador e também alcança workspaces de desenvolvimento. Esta vulnerabilidade foi corrigida na versão 3.39.0.