30秒で判断
- 対応すべき人: Budibase（ローコード開発ツール）を運用している人
- 対応不要な人: Budibaseを利用していない人
- 確認コマンド:
npm ls budibaseまたはBudibaseの管理画面でバージョンを確認
概要
Budibaseのプラグインアップロード機能（/api/plugin）では、アップロードするファイルが .tar.gz かどうかの判定が単純な文字列比較のため容易に回避でき、SSRF（サーバーサイドリクエストフォージェリ）につながる不備が確認されました。
CVSSベクトル
| 項目 | 値 |
|---|---|
| 深刻度 | High |
| スコア | 7.5相当（GHSA severity: HIGH） |
※ GHSAでは詳細なCVSSベクトル文字列は公開されていません。
影響を受けるソフトウェア
| 製品 | エコシステム | 影響バージョン |
|---|---|---|
| budibase | npm | < 3.35.10 |
修正バージョンと回避策
- v3.35.10 以降へアップデートしてください。
- アップデートが難しい場合は、プラグインアップロード機能を無効化するか、利用できるユーザーを信頼できる管理者のみに制限することを検討してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。