JVNDB-2026-021676

budibaseにおける認証の欠如に関する脆弱性

Budibaseはオープンソースのローコードプラットフォームです。バージョン3.39.0以前では、匿名の攻撃者がワークスペースID(app_...)およびS3ソースのデータソースID(ds_...)を知っているか列挙できる場合、認証なしでこのエンドポイントを呼び出し、被害者のIAMアイデンティティ上で15分間有効な事前署名されたPUT URLを取得できます。このエンドポイントはpublicUrlも返すため、攻撃者はPUT操作が正確にどこに向かうかを知ることができます。バケットは攻撃者が制御できるため、そのIAM認証情報を用いて書き込み可能な任意のバケットに書き込むことが可能であり、データソースが設定されているバケットに限定されません。BudibaseサーバールートのPOST /api/attachments/:datasourceId/url (packages/server/src/api/routes/static.ts)はrecaptchaミドルウェアのみで保護されており、authorized(...)ミドルウェアはチェーンに存在しません。コントローラー(packages/server/src/api/controllers/static/index.ts::getSignedUploadURL)は要求されたデータソースを照会し、データソースに保存されたaccessKeyId/secretAccessKeyでAWS S3クライアントをインスタンス化し、呼び出し元が指定したバケットおよびキーに対するAWS Signature V4事前署名PutObjectCommand URLを返します。バケットはデータソースに設定されたバケットに固定されていません。sdk.datasources.getが必要とするワークスペースコンテキストはgetWorkspaceIdFromCtx (packages/backend-core/src/utils/utils.ts)によってx-budibase-app-idヘッダー、JSONボディのappId、ワークスペースプレフィックスで始まるパスセグメント、または?appId=から取得されます。auth.buildAuthMiddleware([], {publicAllowed: true})はこれらの前に動作し、匿名リクエストを明示的に許可します。currentWorkspaceミドルウェアの「devプレビューへのアクセス拒否」処理はisBrowser(ctx) && !isApiKey(ctx)の条件でのみ発動します。isBrowserは解析したUser-Agentが認識されるブラウザかどうかをチェックするため、ブラウザ以外のクライアント(curl、提供されたPoC、ブラウザUAを設定しない任意のツール)は判別されずdevワークスペースに到達可能です。この脆弱性はバージョン3.39.0で修正されました。

budibase

• budibase 3.39.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Budibase: POST /api/attachments/:datasourceId/url is unauthenticated and lets anonymous callers mint S3 PUT pre-signed URLs using stored datasource IAM credentials  Advisory  Budibase/budibase  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-50137

1. National Vulnerability Database (NVD) : CVE-2026-50137

• [2026年07月01日]
    掲載