PT-2026-24107
CVE-2026-25045
·
تاريخ النشر
2026-03-09
·
تاريخ التحديث
2026-03-09
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Budibase (الإصدارات المتأثرة غير محددة)
الوصف
تحتوي المنصة على مزيج من ”تصعيد الامتيازات الرأسي“ و”الإشارة المباشرة غير الآمنة إلى الكائنات“ (IDOR) بسبب عدم وجود عمليات التحقق الخاصة بـ ”التحكم في الوصول القائم على الأدوار“ (RBAC) على جانب الخادم في نقاط النهاية
/api/global/users. يمكن لمستخدم من مستوى ”Creator“ تنفيذ إجراءات تتجاوز أذوناته المصرح بها، مثل ترقية ”App Viewer“ إلى ”Tenant Admin“، أو تخفيض رتبة ”Tenant Admin“ إلى ”App Viewer“، أو تعديل تفاصيل حساب ”Owner“ وجميع الطلبات. ويحدث ذلك لأن واجهة برمجة التطبيقات (API) تقبل هذه الإجراءات دون التحقق من دور الطالب، مما يسمح لـ «Creator» بتكرار الطلبات الحصرية لـ «Owner» باستخدام رموز الجلسة الخاصة به، مما قد يؤدي إلى اختراق كامل للمستأجر. IDOR، أو «الإشارة المباشرة غير الآمنة إلى الكائنات»، هو نوع من مشكلات التحكم في الوصول التي تسمح للمهاجمين بالتحايل على عمليات التحقق من التفويض من خلال التلاعب المباشر بمعرفات الكائنات.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾