Budibase до версии 3.41.3 не может обеспечить авторизацию на основе ролей на конечных точках управления лицензиями, что позволяет любому аутентифицированному пользователю удалять лицензионные ключи или манипулировать автономными токенами. Злоумышленники с базовыми правами пользователя могут получить доступ к конечным точкам /api/global/license/*, чтобы отключить премиум-функции и понизить версию развертываний для всех пользователей.
Показать оригинальное описание (EN)
Budibase before 3.41.3 fails to enforce role-based authorization on license management endpoints, allowing any authenticated user to delete license keys or manipulate offline tokens. Attackers with basic user privileges can access /api/global/license/* endpoints to disable premium features and downgrade deployments for all users.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Budibase Budibase
cpe:2.3:a:budibase:budibase:*:*:*:*:*:*:*:*
|
— |
3.41.3
|