Vulnerabilidades do Budibase Budibase

Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.9, `POST /api/pwa/process-zip` em packages/server/src/api/routes/static.ts:24 aceita um .zip enviado por um builder, extrai-o com extract-zip@2.0.1 em um diretório temporário e, para cada entrada listada em icons.json, valida o caminho do ícone, o abre e transmite os bytes para o MinIO. O objeto resultante é servido de volta por GET /api/assets/{appId}/pwa/{uuid}.png. O extract-zip@2.0.1 preserva destinos absolutos de links simbólicos ao restaurar entradas de links simbólicos. O validador de origem do ícone em packages/server/src/api/controllers/static/index.ts:259-268 resolve a string de origem do ícone em relação a baseDir (path.resolve), verifica resolvedSrc.startsWith(baseDir + path.sep) sobre essa string e chama fs.existsSync(resolvedSrc), que segue links simbólicos para confirmar que o destino existe. Nenhuma das três chamadas rejeita entradas de link simbólico. packages/backend-core/src/objectStore/objectStore.ts:302 então chama (await fsp.open(path)).createReadStream() no caminho resolvido. O fsp.open segue o link simbólico, os bytes do arquivo de destino são transmitidos para o MinIO, e a resposta do endpoint de busca de assets retorna esses bytes sem alteração. Resultado: um builder em nível de workspace consegue ler qualquer arquivo que o processo do servidor possa abrir. Esta vulnerabilidade foi corrigida na versão 3.39.9.

O Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.9, o endpoint de gatilho de webhook do Budibase é acessível publicamente e repassa o corpo completo da requisição HTTP para os parâmetros de execução da automação. Uma vulnerabilidade de atribuição em massa (mass assignment) na função externalTrigger() permite que um atacante sobrescreva a propriedade interna appId ao incluí-la no corpo do POST do webhook. Quando a automação é processada de forma assíncrona (o caminho padrão para webhooks sem etapa collect), o worker executa a automação definida pelo atacante no contexto do workspace da vítima, concedendo acesso total de leitura e escrita ao banco de dados da vítima. Esta vulnerabilidade está corrigida na versão 3.39.9.

O Budibase é uma plataforma low-code de código aberto. Antes da 3.39.12, um visitante não autenticado de qualquer aplicativo Budibase publicado lê todos os documentos da coleção de MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL ou REST-with-JSON-body que serve de backend e, quando o criador publicou uma consulta de escrita PUBLIC, modifica todos os documentos dessa coleção com uma única requisição HTTP. enrichContext em packages/server/src/sdk/workspace/queries/queries.ts:121-138 substitui valores de parâmetros no corpo JSON bruto de uma consulta e depois executa JSON.parse sobre o resultado. O validador validateQueryInputs em packages/server/src/api/controllers/query/index.ts:61-71 rejeita apenas marcadores Handlebars ({{, }}) na entrada do usuário e não escapa metacaracteres JSON (\", \\, }). Um valor de parâmetro contendo aspas de fechamento e chaves adicionais faz com que campos controlados pelo atacante sejam incluídos no objeto de filtro analisado. Para find do Mongo, o filtro analisado é passado diretamente para collection.find() (packages/server/src/integrations/mongodb.ts:506-510). Análise JSON com chaves duplicadas sobrescreve o {name: \"...\"} definido pelo criador com {name: {$exists: true}} e retorna todos os documentos. A mesma primitiva contra uma consulta updateMany (mongodb.ts:577-585) amplia o escopo do filtro para toda a coleção, enquanto o corpo $set controlado pelo criador é executado em todos os documentos correspondentes. O middleware authorized em packages/server/src/middleware/authorized.ts:141-148 faz curto-circuito quando o papel da consulta é PUBLIC. CSRF não é aplicado nesse caminho. POST /api/v2/queries/:queryId (packages/server/src/api/routes/query.ts:63) aceita a chamada sem sessão, apenas com o cabeçalho x-budibase-app-id, que é público a partir da URL do aplicativo publicado. Esta vulnerabilidade foi corrigida na 3.39.12.

Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.0, um atacante anônimo que conheça ou consiga enumerar o identificador de um workspace (app_...) e o identificador de uma fonte de dados do tipo S3 (ds_...) pode chamar este endpoint sem autenticação e obter uma URL pré-assinada de PUT válida por 15 minutos, gerada com a identidade IAM da vítima. O endpoint também retorna a publicUrl, de modo que o atacante sabe exatamente onde seu PUT será gravado. Como o bucket é controlado pelo atacante, ele pode gravar em qualquer bucket que essas credenciais IAM tenham permissão de escrita, e não apenas no bucket configurado para a fonte de dados. A rota do servidor Budibase POST /api/attachments/:datasourceId/url (packages/server/src/api/routes/static.ts) é registrada apenas com o middleware recaptcha. Não há middleware authorized(...) na cadeia. O controlador (packages/server/src/api/controllers/static/index.ts::getSignedUploadURL) consulta a fonte de dados, instancia um cliente AWS S3 com o accessKeyId / secretAccessKey armazenados na fonte e retorna uma URL pré-assinada PutObjectCommand do AWS Signature V4 para o bucket e a chave informados pelo chamador. O bucket não está vinculado ao bucket configurado na fonte de dados. O contexto de workspace exigido por sdk.datasources.get é obtido por getWorkspaceIdFromCtx (packages/backend-core/src/utils/utils.ts) a partir de qualquer um destes: o cabeçalho x-budibase-app-id, o campo appId do corpo JSON, um segmento de caminho que começa com o prefixo do workspace, ou ?appId=. auth.buildAuthMiddleware([], { publicAllowed: true }) é executado antes de tudo isso e permite explicitamente requisições anônimas. O ramo "deny access to dev preview" do middleware currentWorkspace só é acionado quando isBrowser(ctx) && !isApiKey(ctx); isBrowser verifica o User-Agent analisado para identificar um navegador reconhecido, de modo que qualquer cliente que não seja navegador (curl, o PoC fornecido, qualquer ferramenta que não defina um User-Agent de navegador) não é considerado navegador e também alcança workspaces de desenvolvimento. Esta vulnerabilidade foi corrigida na versão 3.39.0.

Budibase is an open-source low-code platform. Prior to 3.39.0, /api/public/v1/roles/assign is guarded by the builderOrAdmin middleware, which passes any user who is a builder for the app id in the x-budibase-app-id header. That check admits both global builders and workspace-scoped builders (builder.apps set but builder.global unset). The controller then spreads the request body into the SDK call, and the SDK grants builder.global=true or admin.global=true on whichever user ids the caller supplies. Bob, a workspace-scoped builder with an API key, promotes himself or any other user to global admin with one POST. The whole flow is tenant-wide privilege escalation from an app-level role, available to anyone with an Enterprise license that unlocks the EXPANDED_PUBLIC_API feature. This vulnerability is fixed in 3.39.0.

Budibase is an open-source low-code platform. Prior to 3.38.2, packages/worker/src/api/routes/global/scim.ts attaches only two middlewares to the SCIM router: requireSCIM (checks the Enterprise feature flag and SCIM config) and doInScimContext (sets the SCIM request context). There is no role check. Any authenticated user who reaches the worker (BASIC role, workspace-scoped builder, anyone) can call SCIM endpoints and CRUD every user and group in the tenant. This vulnerability is fixed in 3.38.2.