🟠 CVE-2026-72859: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-72859 beschreibt eine Autorisierungsregression in Budibase-Versionen vor 3.40.0. Die Schwachstelle ermöglicht es Benutzern mit BASIC-Berechtigung, S3 PutObject presigned URLs zu generieren und damit unbegrenzte Datei-Uploads in S3-Buckets durchzuführen. Der Schweregrad wird mit CVSS 7.7 als HIGH eingestuft.

Betroffene Systeme

Betroffen sind Budibase-Installationen in den Versionen 3.39.4 und älter. Version 3.40.0 und neuer enthalten die erforderliche Korrektur. Alle Deployments, die das S3-Attachment-Upload-Feature nutzen, sind potentiell gefährdet, unabhängig von ihrer Infrastruktur-Konfiguration.

Technische Details

Die Schwachstelle resultiert aus einer Änderung der Berechtigungsprüfung am S3-Attachment-Upload-Endpunkt. Der ursprüngliche BUILDER-Permissions-Check wurde auf TABLE/WRITE reduziert, welche BASIC-Benutzer standardmäßig besitzen.

Ein authentifizierter Angreifer mit BASIC-Status kann POST-Requests an den Attachments-Endpoint senden und in der Request-Body beliebige S3-Bucket-Namen spezifizieren. Das System generiert daraufhin presigned URLs, die es dem Angreifer ermöglichen, Dateien in jeden Bucket zu schreiben, auf den die hinterlegten IAM-Credentials der Budibase-Instanz Zugriff haben.

Angriffsvektor: Network (keine lokale Ausführung erforderlich). Authentifizierung: Erforderlich (BASIC-Benutzer). Auswirkung: Unbegrenzte, unbefugte Dateisystem-Manipulationen in S3-Storage.

Empfohlene Massnahmen

• Sofortiges Update auf Budibase 3.40.0 oder neuer durchführen
• IAM-Credentials überprüfen und auf unbefugte Uploads prüfen
• S3-Bucket-Access-Logs auswerten und anomale PutObject-Aktivitäten analysieren
• BASIC-Benutzer-Berechtigungen überprüfen und restriktiv konfigurieren
• WAF-Regeln für S3-Endpoint-Requests implementieren (zur temporären Mitigation)

Bewertung

CVSS-Score: 7.7 (HIGH)
Patch-Status: Nicht vollständig dokumentiert (No)
Handlungsempfehlung: Priorität: HOCH – Unmittelbares Update erforderlich

„`