Hasinohacker

An information disclosure issue exists where authenticated users can access application metadata and source code belonging to another tenant. By providing a victim tenant's `appId` to the 'GET /api/applications/:appId/appPackage' endpoint, an attacker can retrieve sensitive details such as navigation structure, role names, internal screen URLs, JavaScript snippets, and user identifiers due to a lack of authorization checks.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Budibase الأقدم من 3.23.25 الوصف يحتوي Budibase، وهو منصة مفتوحة المصدر تعتمد على البرمجة منخفضة الكود، على مشكلة في منطق الأعمال ضمن وظيفة إعادة تعيين كلمة المرور. تفتقر نقطة النهاية «نسيت كلمة المرور» إلى آليات تحديد معدل الاستخدام أو اختبار CAPTCHA أو آليات منع إساءة الاستخدام. يمكن لمهاجم غير مصدق الهوية أن يطلق طلبات إعادة تعيين كلمة المرور بشكل متكرر لنفس عنوان البريد الإلكتروني، مما يؤدي إلى إرسال عدد كبير من رسائل البريد الإلكتروني الخاصة بإعادة تعيين كلمة المرور في فترة زمنية قصيرة. وقد يؤدي ذلك إلى إغراق البريد الإلكتروني، ومضايقة المستخدمين، وحجب الخدمة (DoS) عن صناديق البريد الوارد الخاصة بالمستخدمين، مما قد يتسبب في أضرار مالية وتضرر بالسمعة. التوصيات تحديث Budibase إلى الإصدار 3.23.25 أو أحدث.

تحتوي المنصة على مزيج من ”تصعيد الامتيازات الرأسي“ و”الإشارة المباشرة غير الآمنة إلى الكائنات“ (IDOR) بسبب عدم وجود عمليات التحقق الخاصة بـ ”التحكم في الوصول القائم على الأدوار“ (RBAC) على جانب الخادم في نقاط النهاية `/api/global/users`. يمكن لمستخدم من مستوى ”Creator“ تنفيذ إجراءات تتجاوز أذوناته المصرح بها، مثل ترقية ”App Viewer“ إلى ”Tenant Admin“، أو تخفيض رتبة ”Tenant Admin“ إلى ”App Viewer“، أو تعديل تفاصيل حساب ”Owner“ وجميع الطلبات. ويحدث ذلك لأن واجهة برمجة التطبيقات (API) تقبل هذه الإجراءات دون التحقق من دور الطالب، مما يسمح لـ «Creator» بتكرار الطلبات الحصرية لـ «Owner» باستخدام رموز الجلسة الخاصة به، مما قد يؤدي إلى اختراق كامل للمستأجر. IDOR، أو «الإشارة المباشرة غير الآمنة إلى الكائنات»، هو نوع من مشكلات التحكم في الوصول التي تسمح للمهاجمين بالتحايل على عمليات التحقق من التفويض من خلال التلاعب المباشر بمعرفات الكائنات.

Budibase هي منصة «منخفضة الكود» تُستخدم لإنشاء أدوات داخلية، وسير عمل، ولوحات تحكم إدارية. يمكن لمستخدم من مستوى «Creator»، الذي لا يمتلك عادةً أذونات في واجهة المستخدم الرسومية (UI) لدعوة المستخدمين، التلاعب بطلبات واجهة برمجة التطبيقات (API) لدعوة مستخدمين جدد بأي منصب – بما في ذلك «المسؤول» أو «Creator» أو «مشاهد التطبيق» – وتعيينهم في أي مجموعة داخل المؤسسة. وهذا يسمح بالتصعيد الكامل للامتيازات، متجاوزًا قيود واجهة المستخدم الرسومية (UI)، مما قد يؤدي إلى الاستيلاء الكامل على مساحة العمل أو المؤسسة. نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة لدعوة المستخدمين معرضة للتلاعب. تسمح الطلبات المعرضة للثغرة بتجاوز ضوابط الوصول المقصودة.