PT-2026-44056 · Budibase · Budibase

Fg0X0 · Publicado 2026-05-27 · Atualizado 2026-06-12 · CVE-2026-48128

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.39.0

Descrição A etapa de automação executeQuery aceita um queryId das entradas da etapa de automação e o passa para o controlador de execução de consultas sem validação adicional. Quando uma fonte de dados REST é configurada para atingir a infraestrutura interna, isso permite a falsificação de solicitação do lado do servidor (SSRF), uma falha onde o servidor é coagido a fazer solicitações HTTP externas para destinos influenciados por um invasor. A saída da automação então retorna a resposta, o que pode expor dados de serviços internos.

Recomendações Atualize para a versão 3.39.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-48128

GHSA-6964-PP88-6WP9

Produtos afetados

Budibase

Referências · 7

• 🔥 https://github.com/Budibase/budibase/security/advisories/GHSA-6964-pp88-6wp9 · Exploit
• https://github.com/Budibase/budibase · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-48128 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2059719083281531346 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2059718138644795889 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-6964-pp88-6wp9 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1u3zcij/resumen_diario_de_vulnerabilidades_12062026 · Publicação no Reddit