CVE-2026-72850: Kritisk sti-traversering i Budibase

Budibase er en lavkode-platform, som virksomheder bruger til selv at bygge interne apps og værktøjer. Fejlen (CVE-2026-72850) skyldes manglende sanering af filnavne, kaldet S3-objektnøgler, når filer uploades. En bruger med rollen builder kan konstruere et filnavn med ‘../’-sekvenser, som normalt bruges til at navigere op i mappestrukturer. Når arbejdsområdet efterfølgende eksporteres, bevares disse sekvenser, og filen skrives dermed uden for den midlertidige mappe, den skulle ligge i. Dette kaldes en sti-traversering (CWE-22), og den kan ende med at overskrive vilkårlige filer, som Budibase-processen har skriveadgang til.

Det rammer virksomheder og kommuner, der kører Budibase selv-hostet i en version før 3.40.0. Sårbarheden kræver, at angriberen allerede er en autoriseret bruger med rollen builder, altså nogen der bygger apps i platformen, ikke en anonym udefrakommende. Organisationer med flere builder-konti, for eksempel udviklere, superbrugere eller eksterne konsulenter med adgang, er mest udsatte.

En builder kan uploade en fil med et manipuleret filnavn og udløse en eksport, som skriver filens indhold til en sti uden for det tiltænkte område, for eksempel konfigurationsfiler, opstartsscripts eller mapper serveret af webserveren. I praksis kan det bruges til at lægge en bagdør på serveren og opnå fuld kontrol over den maskine, Budibase kører på, herunder adgang til andre systemer og data i samme netværk.

CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og ingen handling fra andre brugere, men det kræver høje rettigheder, det vil sige en gyldig konto med builder-rollen. Fordi angrebet kan påvirke systemer uden for Budibase’s egen sikkerhedsafgrænsning (scope changed), regnes konsekvensen som meget alvorlig, selvom adgangsbarrieren er højere end ved et helt uautoriseret angreb. Der er ikke rapporteret aktiv udnyttelse pr. offentliggørelsesdatoen.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Budibase til version 3.40.0 eller nyere. Det retter selve fejlen.
2. Gennemgå listen over brugere med builder-rollen, og fjern adgang for dem, der ikke aktivt bygger apps.
3. Gennemgå eksportlogs for usædvanlige filnavne, særligt med ‘../’-sekvenser, for at afgøre om noget allerede er misbrugt.
4. Begræns den filsystemadgang, Budibase-processen kører med, så den ikke kan skrive til systemkritiske mapper.
5. Skift adgangskoder og gennemgå aktivitet for builder-konti, hvis I finder tegn på misbrug.
6. Få hjælp fra en sikkerhedsrådgiver, hvis I finder spor efter uautoriseret filskrivning, eller hvis I ikke selv kan verificere, at opdateringen er gennemført korrekt.