JVNDB-2026-021668

budibaseにおける複数の脆弱性

Budibaseはオープンソースのローコードプラットフォームです。バージョン3.39.9より前の`POST /api/pwa/process-zip`（packages/server/src/api/routes/static.ts:24）では、ビルダーがアップロードした.zipファイルを受け取り、extract-zip@2.0.1を使って一時ディレクトリに展開します。その後、icons.jsonにリストされている各エントリについてアイコンパスを検証し、開いてMinIOにバイトストリームを送ります。生成されたオブジェクトはGET /api/assets/{appId}/pwa/{uuid}.png経由で返されます。extract-zip@2.0.1はシンボリックリンクのターゲットが絶対パスの場合、それを保持したまま復元します。packages/server/src/api/controllers/static/index.ts:259-268のicon-sourceバリデータはicon source文字列をbaseDir（path.resolve）に対して解決し、resolvedSrc.startsWith(baseDir + path.sep)をチェックし、更にfs.existsSync(resolvedSrc)を呼んでシンボリックリンクをたどってターゲットの存在を確認します。これら3つの呼び出しのいずれもシンボリックリンクエントリを拒否しません。さらに、packages/backend-core/src/objectStore/objectStore.ts:302では解決済みパスに対し(await fsp.open(path)).createReadStream()を呼び出しています。fsp.openはシンボリックリンクをたどり、ターゲットファイルのバイトがMinIOにストリームされ、アセット取得エンドポイントのレスポンスはそれらのバイトをそのまま返します。結果として、ワークスペースレベルのビルダーはサーバープロセスが開ける任意のファイルを読み取れます。この脆弱性は3.39.9で修正されました。

budibase

• budibase 3.39.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary file read by workspace-builder via PWA-zip symlink upload  Advisory  Budibase/budibase  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-54352

1. National Vulnerability Database (NVD) : CVE-2026-54352

• [2026年07月01日]
    掲載