CVE-2026-31816

概要

Budibase はローコードプラットフォームです。バージョン 3.31.4 以前において、サーバサイド API エンドポイントを保護する authorized() ミドルウェアが完全にバイパスできます。

isWebhookEndpoint() 関数がアンカーされていない正規表現を使用しており、Koa の ctx.request.url（クエリパラメータを含むフル URL）に対してテストします。リクエストの URL のクエリ文字列に ?/webhooks/trigger などの Webhook パターンを追加するだけで、authorized() ミドルウェアが return next() を即座に呼び出し、すべての認証、認可、ロールチェック、CSRF 保護をスキップします。

完全に非認証のリモート攻撃者が、任意のサーバサイド API エンドポイントにアクセス可能です。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 修正バージョン: Budibase の最新バージョンへのアップデート
• 暫定回避策: Budibase インスタンスを信頼できるネットワークからのみアクセス可能にする

関連リンク

• NVD
• GitHub Security Advisory (GHSA-gw94-hprh-4wj8)

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。