PT-2026-71911
CVE-2026-72856
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Budibase الأقدم من 3.40.0
الوصف
يوجد ثغرة في تجاوز التفويض والمصادقة في نقطة النهاية ’PUT /api/global/users/tenant/owner‘ (changeTenantOwnerEmail). في الحالات ذات الاستضافة الذاتية حيث يتم تعيين
SELF HOSTED أو DISABLE ACCOUNT PORTAL، تكون البرمجيات الوسيطة cloudRestricted غير نشطة. ونتيجة لذلك، لا يتم حماية المسار إلا بفحص مصادقة عام، مما يسمح لأي مستخدم تمت مصادقته، بما في ذلك أولئك الذين يتمتعون بامتيازات أساسية، بإعادة تعيين البريد الإلكتروني لصاحب حساب المستأجر إلى عنوان يتحكم فيه المهاجم. وهذا يسمح للمهاجم باستغلال عملية إعادة تعيين كلمة المرور العامة للاستيلاء على التحكم في الحساب الإداري والحصول على وصول إداري كامل.التوصيات
تحديث Budibase إلى الإصدار 3.40.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾