Vishaallkumaarr

**Nome do Software Vulnerável e Versões Afetadas** Budibase versões 3.37.2 through 3.38.x **Description** O Budibase contém um problema onde o endpoint `GET /api/chat-links/:instance/:token/handoff` é público e carece de autenticação e proteção contra Cross-Site Request Forgery (CSRF). Isso permite que um invasor crie um token de sessão contendo seu próprio `externalUserId` e engane um usuário autenticado para visitar a URL. Quando a vítima visita o link, sua conta do Budibase é vinculada silenciosa e permanentemente à identidade de chat externa do invasor (como Slack, Discord ou MS Teams) sem qualquer interface de consentimento. Consequentemente, o invasor pode personificar a vítima para interagir com agentes de IA, potencialmente obtendo acesso não autorizado a dados sensíveis, lendo linhas de tabelas e disparando automações com as permissões da vítima. **Recommendations** Atualize o Budibase para a versão 3.39.0. Como mitigação temporária, restrinja o acesso ao endpoint `GET /api/chat-links/:instance/:token/handoff`.