CVE-2026-25045

Nome do Software Vulnerável e Versões Afetadas Budibase (versões afetadas não especificadas)

Descrição A plataforma apresenta uma combinação de Escalada de Privilégio Vertical e Referência Direta a Objetos Insegura (IDOR) devido à falta de verificações de Controle de Acesso Baseado em Funções (RBAC) no lado do servidor nos endpoints /api/global/users. Um usuário de nível "Creator" pode realizar ações além de suas permissões autorizadas, como promover um "App Viewer" para "Tenant Admin", rebaixar um "Tenant Admin" para "App Viewer" ou modificar os detalhes da conta do "Owner" e todos os pedidos. Isso é possível porque a API aceita essas ações sem validar a função solicitante, permitindo que um "Creator" repita solicitações exclusivas do "Owner" usando seus próprios tokens de sessão, potencialmente levando ao comprometimento total do tenant. IDOR, ou Referência Direta a Objetos Insegura, é um tipo de problema de controle de acesso que permite aos atacantes contornar verificações de autorização manipulando diretamente identificadores de objeto.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.