Vulnerabilidades de Budibase

Budibase is an open-source low-code platform. Prior to 3.39.30, the OIDC flow in packages/backend-core/src/middleware/passport/sso/oidc.ts resolved an email without getEmailVerified or an email_verified requirement, and packages/backend-core/src/middleware/passport/sso/sso.ts then used users.getGlobalUserByEmail as a fallback account-linking key. An attacker who can authenticate through a configured identity provider that asserts a victim email as unverified can have a fresh provider identity merged into the victim Budibase account and inherit the victim roles. This issue is fixed in version 3.39.30.

Budibase before 3.40.0 contains an unauthenticated SQL injection vulnerability in webhook-triggered automations with EXECUTE_QUERY steps. Attackers can POST attacker-controlled JSON to the webhook trigger endpoint to inject SQL payloads that execute with builder-configured database credentials, enabling data exfiltration, modification, and persistence in connected datasources like Snowflake.

Budibase before 3.40.0 fails to properly sanitize S3 object keys, allowing authenticated builders to upload files with traversal sequences that are preserved during export. Attackers can craft filenames containing .. segments that escape the temporary directory during workspace export, writing arbitrary content to any path writable by the Budibase process.

Budibase is an open-source low-code platform. Prior to 3.40.1, RestIntegration._req in packages/server/src/integrations/rest.ts attached credentials from getAuthHeaders and defaultHeaders without requiring the final request destination to match the datasource origin. An unauthenticated caller of a PUBLIC POST /api/v2/queries/:queryId query could supply an absolute or parameterized path to an attacker-controlled host and receive the stored bearer, basic, or static-header credentials. This issue is fixed in version 3.40.1.

Budibase is an open-source low-code platform. Prior to 3.40.0, the MySQL integration component in Budibase is configured with multipleStatements: true, enabling execution of multiple SQL statements in a single query. Attackers can inject malicious SQL commands through user input fields, leading to complete database compromise. This vulnerability is fixed in 3.40.0.

Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.9, `POST /api/pwa/process-zip` em packages/server/src/api/routes/static.ts:24 aceita um .zip enviado por um builder, extrai-o com extract-zip@2.0.1 em um diretório temporário e, para cada entrada listada em icons.json, valida o caminho do ícone, o abre e transmite os bytes para o MinIO. O objeto resultante é servido de volta por GET /api/assets/{appId}/pwa/{uuid}.png. O extract-zip@2.0.1 preserva destinos absolutos de links simbólicos ao restaurar entradas de links simbólicos. O validador de origem do ícone em packages/server/src/api/controllers/static/index.ts:259-268 resolve a string de origem do ícone em relação a baseDir (path.resolve), verifica resolvedSrc.startsWith(baseDir + path.sep) sobre essa string e chama fs.existsSync(resolvedSrc), que segue links simbólicos para confirmar que o destino existe. Nenhuma das três chamadas rejeita entradas de link simbólico. packages/backend-core/src/objectStore/objectStore.ts:302 então chama (await fsp.open(path)).createReadStream() no caminho resolvido. O fsp.open segue o link simbólico, os bytes do arquivo de destino são transmitidos para o MinIO, e a resposta do endpoint de busca de assets retorna esses bytes sem alteração. Resultado: um builder em nível de workspace consegue ler qualquer arquivo que o processo do servidor possa abrir. Esta vulnerabilidade foi corrigida na versão 3.39.9.

O Budibase é uma plataforma low-code de código aberto. Antes da versão 3.39.9, o endpoint de gatilho de webhook do Budibase é acessível publicamente e repassa o corpo completo da requisição HTTP para os parâmetros de execução da automação. Uma vulnerabilidade de atribuição em massa (mass assignment) na função externalTrigger() permite que um atacante sobrescreva a propriedade interna appId ao incluí-la no corpo do POST do webhook. Quando a automação é processada de forma assíncrona (o caminho padrão para webhooks sem etapa collect), o worker executa a automação definida pelo atacante no contexto do workspace da vítima, concedendo acesso total de leitura e escrita ao banco de dados da vítima. Esta vulnerabilidade está corrigida na versão 3.39.9.

O Budibase é uma plataforma low-code de código aberto. Antes da 3.39.12, um visitante não autenticado de qualquer aplicativo Budibase publicado lê todos os documentos da coleção de MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL ou REST-with-JSON-body que serve de backend e, quando o criador publicou uma consulta de escrita PUBLIC, modifica todos os documentos dessa coleção com uma única requisição HTTP. enrichContext em packages/server/src/sdk/workspace/queries/queries.ts:121-138 substitui valores de parâmetros no corpo JSON bruto de uma consulta e depois executa JSON.parse sobre o resultado. O validador validateQueryInputs em packages/server/src/api/controllers/query/index.ts:61-71 rejeita apenas marcadores Handlebars ({{, }}) na entrada do usuário e não escapa metacaracteres JSON (\", \\, }). Um valor de parâmetro contendo aspas de fechamento e chaves adicionais faz com que campos controlados pelo atacante sejam incluídos no objeto de filtro analisado. Para find do Mongo, o filtro analisado é passado diretamente para collection.find() (packages/server/src/integrations/mongodb.ts:506-510). Análise JSON com chaves duplicadas sobrescreve o {name: \"...\"} definido pelo criador com {name: {$exists: true}} e retorna todos os documentos. A mesma primitiva contra uma consulta updateMany (mongodb.ts:577-585) amplia o escopo do filtro para toda a coleção, enquanto o corpo $set controlado pelo criador é executado em todos os documentos correspondentes. O middleware authorized em packages/server/src/middleware/authorized.ts:141-148 faz curto-circuito quando o papel da consulta é PUBLIC. CSRF não é aplicado nesse caminho. POST /api/v2/queries/:queryId (packages/server/src/api/routes/query.ts:63) aceita a chamada sem sessão, apenas com o cabeçalho x-budibase-app-id, que é público a partir da URL do aplicativo publicado. Esta vulnerabilidade foi corrigida na 3.39.12.