Budibase: Server-side Request Forgery in der KI-Tabellengenerierung

Zusammenfassung

Budibase enthält eine Server-side Request Forgery (SSRF) Schwachstelle in der KI-Tabellengenerierung. Die Funktion uploadUrl ruft URLs ohne den Blacklist-Schutz des Projekts ab, daher können interne Adressen angefragt werden. Ein authentifizierter Builder-Benutzer kann dies ausnutzen, indem er eine interne URL in einer Anhangspalte platziert; der Server liefert den Inhalt über eine signierte Speicher-URL zurück, wodurch Cloud-Metadaten-Zugangsdaten offengelegt werden können.

Betroffen

• Budibase-Versionen vor 3.41.0 (CVE-Eintrag: betroffen 0 bis < 3.41.0; die CVE-Beschreibung nennt 'bis 3.41.0', die genaue Grenze sollte im Herstellerhinweis geprüft werden)

Behoben in

• Budibase 3.41.0 (laut CVE-Eintrag; der Fix-Commit ist in OSV aufgeführt)

Umgehung

• Die KI-Tabellengenerierung deaktivieren, falls sie nicht benötigt wird.
• Builder-Konten auf die tatsächlich benötigten Personen beschränken.
• Ausgehende Anfragen vom Budibase-Host zu internen und Metadaten-Adressen auf Netzwerkebene einschränken.
• Auf Cloud-VMs die vom Anbieter angebotenen, strengeren Einstellungen für den Metadaten-Dienst durchsetzen.

Diese Massnahmen wurden nicht mit dem Herstellerhinweis verifiziert.

Ausnutzung

• Ein Builder-Konto ist für die Ausnutzung erforderlich.
• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein.
• Ob ein öffentlicher Proof of Concept existiert, ist unbestätigt; eine Quelle behauptet dies, eine andere meldet keinen.
• Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Budibase auf Version 3.41.0 oder neuer aktualisieren.
• Prüfen, ob die KI-Tabellengenerierung aktiviert und notwendig ist.
• Builder-Konten überprüfen und nicht benötigte Konten entfernen.
• Falls die Instanz exponiert war, Cloud-Metadaten-Einstellungen prüfen und Zugangsdaten rotieren.
• Beachten, dass ein verwandtes Bare-Fetch-Problem (CVE-2026-73307) frühere Versionen betrifft; die gepatchte Version beim Hersteller bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3c52-v5v2-3r56 github.com
• VulnCheck advisory: Budibase SSRF via uploadUrl www.vulncheck.com
• OSV: CVE-2026-103757 osv.dev
• OpenCVE: CVE-2026-103757 app.opencve.io
• CVE-2026-73307 (related bare-fetch issue) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:24.