CVE-2026-103757

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.41.1

Description Existe um problema no recurso de geração de tabelas por IA onde a função uploadUrl() em packages/server/src/utilities/fileUtils.ts utiliza node-fetch bruto em vez de um método de busca restrito. Usuários construtores autenticados podem explorar isso enviando um comando para o endpoint 'POST /api/ai/tables' que inclua uma URL interna em uma coluna de anexo. Isso faz com que o servidor busque o recurso interno e retorne uma URL de armazenamento de objetos pré-assinada contendo a resposta, o que pode expor dados sensíveis, como credenciais de metadados de nuvem. Server-side request forgery (SSRF) é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualize o Budibase para a versão 3.41.1 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /api/ai/tables' para usuários que não necessitem dos recursos de geração de tabelas por IA.