CVE-2026-31818 Budibase — эксплойт и детали уязвимости CRITICAL

Параметр	Значение
CVSS	9,6 (CRITICAL)
Устранено в версии	3.33.4
Тип уязвимости	CWE-1188, CWE-918 (Подделка запросов на стороне сервера (SSRF))
Поставщик	Budibase
Публичный эксплойт	Нет

Budibase — это платформа low-code с открытым исходным кодом. До версии 3.33.4 в коннекторе источника данных REST Budibase существовала уязвимость подделки запросов на стороне сервера (SSRF). Механизм защиты SSRF платформы (черный список IP-адресов) оказывается совершенно неэффективным, поскольку переменная среды BLACKLIST_IPS не установлена по умолчанию ни в одной из официальных конфигураций развертывания.

Когда эта переменная пуста, функция черного списка безоговорочно возвращает false, разрешая все запросы без ограничений. Эта проблема исправлена в версии 3.33.4.

Показать оригинальное описание (EN)

Budibase is an open-source low-code platform. Prior to version 3.33.4, a server-side request forgery (SSRF) vulnerability exists in Budibase's REST datasource connector. The platform's SSRF protection mechanism (IP blacklist) is rendered completely ineffective because the BLACKLIST_IPS environment variable is not set by default in any of the official deployment configurations. When this variable is empty, the blacklist function unconditionally returns false, allowing all requests through without restriction. This issue has been patched in version 3.33.4.