CVE-2026-81335

Nome do Software Vulnerável e Versões Afetadas Baserow versões anteriores a 2.3.1

Description O Baserow não processa o resultado de uma verificação de permissão ao despachar uma fonte de dados do Application Builder. As views de dispatch e record-name em backend/src/baserow/contrib/builder/api/data sources/views.py utilizam uma classe de permissão que aceita qualquer chamador, permitindo que requisições não autenticadas alcancem o manipulador. Posteriormente, a função DataSourceService.dispatch data sources em backend/src/baserow/contrib/builder/data sources/service.py chama check multiple permissions() sem solicitar que ela gere uma exceção e ignora o mapeamento de negações retornado. Como resultado, a fonte de dados é despachada usando as credenciais da própria integração, independentemente da identidade do chamador, permitindo que usuários não autenticados recuperem linhas e campos através da enumeração de identificadores inteiros pequenos.

Recommendations Atualizar para a versão 2.3.1.