JVNDB-2026-007401

budibaseにおける複数の脆弱性

Budibaseは、内部ツール、ワークフロー、および管理パネルを作成するためのローコードプラットフォームです。バージョン3.31.5およびそれ以前のバージョンでは、PWA（プログレッシブウェブアプリ）のZIP処理エンドポイント（POST /api/pwa/process-zip）にパストラバーサルの脆弱性が存在し、ビルダー権限を持つ認証済みユーザーがサーバーファイルシステム上の任意のファイルを読み取ることが可能でした。これには、すべての環境変数（JWTシークレット、データベース認証情報、暗号鍵、APIトークン）を含む/proc/1/environも含まれます。サーバーは、アップロードされたZIP内のicons.jsonからのユーザー制御された入力を使い、サニタイズされていないpath.join()を介して攻撃者が指定したファイルを読み取り、そのファイル内容をオブジェクトストア（MinIO/S3）にアップロードします。これらのファイルは署名付きURLを通じて取得可能です。この結果、単一のリクエストで全ての暗号秘密情報およびサービス認証情報が漏洩し、プラットフォーム全体が完全に侵害されます。

budibase

• budibase 3.31.5 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PWA ZIP Upload Path Traversal Allows Reading Arbitrary Server Files Including All Environment Secrets  Advisory  Budibase/budibase  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. ファイル名やパス名の外部制御(CWE-73) [その他]

1. CVE-2026-30240

1. National Vulnerability Database (NVD) : CVE-2026-30240

• [2026年03月16日]
    掲載