CVE-2026-35216

إصدارات Budibase الأقدم من 3.33.4

يوجد في Budibase، وهي منصة مفتوحة المصدر تعتمد على البرمجة منخفضة الكود، ثغرة أمنية خطيرة تتيح لمهاجم غير معتمد تنفيذ التعليمات البرمجية عن بُعد (RCE) على خادم Budibase. ويتم ذلك عن طريق تشغيل عملية أتمتة تحتوي على خطوة Bash عبر نقطة نهاية webhook العامة. وتُنفذ العملية بصفة الجذر داخل الحاوية. تعود هذه الثغرة إلى خطأ في تكوين مشغل webhook الذي يسمح بالوصول غير المصادق عليه واستخدام معالجة قوالب Handlebars على مدخلات webhook، والتي يتم تنفيذها بعد ذلك كأمر shell. يمكن للمهاجم استغلال ذلك عن طريق إرسال طلب HTTP POST مُصمم خصيصًا إلى نقطة النهاية /api/webhooks/trigger/{appId}/{webhookId} مع حمولة ضارة في حقل cmd. وهذا يتيح له تنفيذ أوامر تعسفية على الخادم بامتيازات الجذر. تتطلب هذه الثغرة الأمنية أن يكون المسؤول قد أنشأ مسبقًا عملية أتمتة باستخدام مشغل webhook وخطوة Bash تستخدم قالب حقل المشغل. نقطة النهاية المتأثرة هي /api/webhooks/trigger/:instance/:id. و«المستقبل» المعرض للخطر هو خطوة أتمتة Bash، وتحديدًا دالة processStringSync ودالة execSync. تتضمن سلسلة الهجوم إرسال طلب HTTP POST إلى نقطة نهاية مشغل webhook، مما يؤدي بدوره إلى تشغيل الأتمتة وتنفيذ خطوة Bash مع الحمولة التي يتحكم فيها المهاجم. لم يتم تحديد عدد الأجهزة التي قد تكون متأثرة.