Hasinohacker

Existe um problema de divulgação de informações onde usuários autenticados podem acessar metadados e código-fonte de aplicativos pertencentes a outro locatário. Ao fornecer o `appId` de um locatário vítima para o endpoint 'GET /api/applications/:appId/appPackage', um invasor pode recuperar detalhes sensíveis, como estrutura de navegação, nomes de funções, URLs de telas internas, trechos de JavaScript e identificadores de usuário, devido à ausência de verificações de autorização.

Name of the Vulnerable Software and Affected Versions Budibase versões anteriores a 3.23.25 Description Budibase, uma plataforma de low-code de código aberto, contém uma falha de lógica de negócios em sua funcionalidade de redefinição de senha. O endpoint “Forgot Password” carece de limitação de taxa, CAPTCHA ou mecanismos de prevenção de abuso. Um invasor não autenticado pode acionar repetidamente solicitações de redefinição de senha para o mesmo endereço de e-mail, levando ao envio de um grande número de e-mails de redefinição de senha em um curto período. Isso pode resultar em inundações de e-mail, assédio ao usuário e negação de serviço (DoS) nas caixas de entrada dos usuários, causando potencialmente danos financeiros e de reputação. Recommendations Atualize o Budibase para a versão 3.23.25 ou posterior.

A plataforma apresenta uma combinação de Escalada de Privilégio Vertical e Referência Direta a Objetos Insegura (IDOR) devido à falta de verificações de Controle de Acesso Baseado em Funções (RBAC) no lado do servidor nos endpoints `/api/global/users`. Um usuário de nível "Creator" pode realizar ações além de suas permissões autorizadas, como promover um "App Viewer" para "Tenant Admin", rebaixar um "Tenant Admin" para "App Viewer" ou modificar os detalhes da conta do "Owner" e todos os pedidos. Isso é possível porque a API aceita essas ações sem validar a função solicitante, permitindo que um "Creator" repita solicitações exclusivas do "Owner" usando seus próprios tokens de sessão, potencialmente levando ao comprometimento total do tenant. IDOR, ou Referência Direta a Objetos Insegura, é um tipo de problema de controle de acesso que permite aos atacantes contornar verificações de autorização manipulando diretamente identificadores de objeto.

O Budibase é uma plataforma de baixo código utilizada para criar ferramentas internas, fluxos de trabalho e painéis de administração. Um usuário de nível Creator, que normalmente não possui permissões na interface gráfica (UI) para convidar usuários, pode manipular solicitações de API para convidar novos usuários com qualquer cargo – incluindo Administrador, Creator ou Visualizador de Aplicativo – e atribuí-los a qualquer grupo dentro da organização. Isso permite a escalada total de privilégios, ignorando as restrições da interface gráfica (UI), podendo levar à tomada completa de controle do espaço de trabalho ou da organização. O endpoint da API utilizado para convite de usuários é suscetível a manipulação. A solicitação vulnerável permite ignorar os controles de acesso pretendidos.