🇰🇷 한글 설명
Budibase Server 3.41.3 미만 버전의 datasource verify 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 빌더 권한을 가진 사용자가 검증되지 않은 임의의 URL을 입력하여 내부 CouchDB 자격 증명을 유출하고 클라우드 배포 환경의 데이터베이스 전체 권한을 탈취할 수 있습니다.
💡 쉬운 설명
서비스 내부에서만 접근 가능한 중요한 정보를 외부로 몰래 빼돌릴 수 있는 보안 약점이 발견되었습니다. 공격자가 가짜 주소를 입력하면 서버가 스스로 내부 비밀번호를 공격자에게 보내줄 수 있습니다.
🇺🇸 원문 (English)
Budibase Server before 3.41.3 contains a server-side request forgery vulnerability in the datasource verify endpoint that allows builder-level users to supply arbitrary URLs without SSRF validation. Attackers can exploit this to leak internal CouchDB credentials by making requests to attacker-controlled servers, gaining full database access in cloud deployments.
📍 영향받는 시스템
Budibase Server versions before 3.41.3
⚔️ 공격 벡터
builder-level 사용자가 datasource verify 엔드포인트에 조작된 URL을 입력하여 내부 네트워크로 요청을 유도함
🛡️ 대응 방법
Budibase Server를 3.41.3 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.41.3 이상인지 확인하여 취약점 여부를 판단합니다.
curl -s http://<budibase-host>/api/version | grep -E '3.41.3'