🇰🇷 한글 설명
Budibase 3.41.3 미만 버전에서 POST /api/datasources/query 엔드포인트의 테이블별 역할 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 낮은 권한을 가진 BASIC 사용자가 설정된 권한에 관계없이 모든 테이블의 데이터를 읽고, 생성, 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 원래 접근할 수 없는 데이터베이스 테이블에 마음대로 접근하여 정보를 훔치거나 내용을 바꿀 수 있는 보안 결함입니다. 권한 설정이 제대로 작동하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
Budibase before 3.41.3 fails to enforce per-table role restrictions on the POST /api/datasources/query endpoint, allowing low-privilege BASIC users to read, create, update, or delete rows in any table regardless of configured permissions. Attackers with BASIC role can submit crafted query requests with target table identifiers to bypass table-level access controls and manipulate restricted data.
📍 영향받는 시스템
Budibase version < 3.41.3
⚔️ 공격 벡터
낮은 권한의 사용자가 조작된 쿼리 요청을 API 엔드포인트로 전송하여 테이블 수준의 접근 제어를 우회함
🛡️ 대응 방법
Budibase를 최신 버전인 3.41.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.41.3 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '3\.[0-4][0-9]\.'