PT-2026-42050 · Budibase · Budibase

Da7Om85 · Publicado 2026-05-19 · Atualizado 2026-05-27 · CVE-2026-46426

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.38.2

Description O endpoint de upload de arquivos "/api/attachments/process" não impõe restrições de conteúdo ativo para usuários autenticados. O sistema falha ao verificar extensões de arquivos perigosas quando o usuário não é um usuário público ou quando o ambiente é auto-hospedado. Isso permite que builders autenticados façam o upload de conteúdo web executável, como arquivos SVG contendo tags <script> inline, páginas HTML com JavaScript ou módulos .js. Esses arquivos são armazenados no armazenamento de objetos com seus tipos MIME originais. Quando uma URL assinada para o arquivo carregado é aberta por qualquer usuário do aplicativo, o navegador executa o payload, resultando em Cross-Site Scripting (XSS) persistente e armazenado. O problema está localizado na função uploadFile().

Recommendations Atualize para a versão 3.38.2. Como medida paliativa temporária, restrinja o acesso ao endpoint "/api/attachments/process" para minimizar o risco de exploração.

Exploit

Correção

XSS

Unrestricted File Upload

Enumeração de Fraquezas

CWE-79

CWE-434

Identificadores relacionados

CVE-2026-46426

GHSA-82RC-GXRG-V4GF

Produtos afetados

Budibase

Referências · 7

• 🔥 https://github.com/Budibase/budibase/security/advisories/GHSA-82rc-gxrg-v4gf · Exploit
• https://github.com/Budibase/budibase · Nota
• https://github.com/Budibase/budibase/releases/tag/3.38.2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-46426 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2059719046753296571 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2059718136568688892 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-82rc-gxrg-v4gf · Aviso do Fabricante