PT-2026-37181 · Budibase · Budibase

Ayushparkara · Publicado 2026-04-24 · Atualizado 2026-06-04 · CVE-2026-42239

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.35.10

Descrição O cookie budibase:auth, que contém o token de sessão JWT, está configurado com httpOnly: false no arquivo packages/backend-core/src/utils/utils.ts. Isso permite que o JavaScript acesse o cookie via document.cookie, possibilitando que um invasor roube o JWT e realize a invasão total da conta caso exista uma falha de Cross-Site Scripting (XSS). Além disso, o cookie não possui a flag secure: true, o que significa que pode ser enviado via HTTP em texto simples, e carece do atributo sameSite, tornando-o suscetível ao anexo de requisições entre sites.

Recomendações Atualize para a versão 3.35.10.

Exploit

Correção

Enumeração de Fraquezas

CWE-1004

Identificadores relacionados

CVE-2026-42239

GHSA-4F9J-VR4P-642R

Produtos afetados

Budibase

Referências · 8

• 🔥 https://github.com/Budibase/budibase/security/advisories/GHSA-4f9j-vr4p-642r · Exploit
• https://github.com/Budibase/budibase · Nota
• https://github.com/Budibase/budibase/releases/tag/3.35.10 · Correção
• https://twitter.com/VulmonFeeds/status/2052502084176478633 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2052477941032927548 · Publicação no Twitter
• https://t.me/cveNotify/166030 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42239 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4f9j-vr4p-642r · Aviso do Fabricante