CVE-2026-30240

CRITICAL CVSS 3.1: 8,1 EPSS 0.03%
Обновлено 13 марта 2026
Budibase
Параметр Значение
CVSS 8,1 (CRITICAL)
Уязвимые версии до 3.31.5
Тип уязвимости CWE-22 (Обход пути), CWE-73 (Внешнее управление именем файла)
Поставщик Budibase
Публичный эксплойт Нет

Budibase — это платформа с низким кодом для создания внутренних инструментов, рабочих процессов и панелей администратора. В версии 3.31.5 и более ранних версиях уязвимость обхода пути в конечной точке обработки ZIP PWA (Progressive Web App) (POST /api/pwa/process-zip) позволяет аутентифицированному пользователю с привилегиями сборщика читать произвольные файлы из файловой системы сервера, включая /proc/1/environ, который содержит все переменные среды — секреты JWT, учетные данные базы данных, ключи шифрования и токены API. Сервер считывает файлы, указанные злоумышленником, с помощью необработанного метода path.join() с контролируемым пользователем вводом из файла icons.json внутри загруженного ZIP-архива, а затем загружает содержимое файла в хранилище объектов (MinIO/S3), откуда его можно получить по подписанным URL-адресам.

Это приводит к полной компрометации платформы, поскольку все криптографические секреты и учетные данные служб удаляются за один запрос.

Показать оригинальное описание (EN)

Budibase is a low code platform for creating internal tools, workflows, and admin panels. In 3.31.5 and earlier, a path traversal vulnerability in the PWA (Progressive Web App) ZIP processing endpoint (POST /api/pwa/process-zip) allows an authenticated user with builder privileges to read arbitrary files from the server filesystem, including /proc/1/environ which contains all environment variables — JWT secrets, database credentials, encryption keys, and API tokens. The server reads attacker-specified files via unsanitized path.join() with user-controlled input from icons.json inside the uploaded ZIP, then uploads the file contents to the object store (MinIO/S3) where they can be retrieved through signed URLs. This results in complete platform compromise as all cryptographic secrets and service credentials are exfiltrated in a single request.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Budibase Budibase
cpe:2.3:a:budibase:budibase:*:*:*:*:*:*:*:*
<= 3.31.5