Budibase до версии 3.40.0 не может редактировать учетные данные источника данных, хранящиеся в типизированных полях STRING, что позволяет прошедшим проверку подлинности пользователям читать строки подключения MongoDB и закрытые ключи Firebase в открытом виде. Злоумышленники с разрешениями на чтение таблиц могут получить конфигурации источников данных через API чтения, чтобы получить учетные данные серверной базы данных и ключи учетной записи службы.
Показать оригинальное описание (EN)
Budibase before 3.40.0 fails to redact datasource credentials stored in STRING typed fields, allowing authenticated users to read MongoDB connection strings and Firebase private keys in plaintext. Attackers with table read permissions can retrieve datasource configurations through the read API to obtain live backend database credentials and service account keys.
Характеристики атаки
Последствия
Строка CVSS v4.0