CVE-2026-54356: إصدار عنوان URL موقّع تعسفي لرفع S3 في Budibase عبر /api/attachments/:datasourceId/url | Kitploit

CVE-2026-54356

عاليتم النشر

إصدار عنوان URL موقّع تعسفي لرفع S3 في Budibase عبر /api/attachments/:datasourceId/url

تم النشر: 17‏/08‏/2026
محدث: 18‏/08‏/2026
تخصيص CNA: GitHub_M
الأدلة المرصودة: 21‏/08‏/2026

CVSS الأساسي

7.1/ 10عالي

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

تقدير احتمالية EPSS

0.2‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 15.9‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

Budibase هي منصة مفتوحة المصدر منخفضة الكود. قبل الإصدار 3.41.3، يسمح المسار POST /api/attachments/:datasourceId/url في packages/server/src/api/routes/static.ts و packages/server/src/api/controllers/static/index.ts لمستخدم مُصادق في تطبيق منشور بدور BASIC بتوفير قيم bucket و key يتحكم فيها المهاجم والحصول على قيم signedUrl و publicUrl مدعومة ببيانات اعتماد مصدر بيانات S3 المخزنة. تم إصلاح هذه المشكلة في الإصدار 3.41.3.

المصادر

CVE-2026-54356PoC
إثبات مفهوم (PoC) لاستغلال الثغرة ونشرة استشارية أمنية لثغرة CVE-2026-54356، وهي خلل نقص التفويض في Budibase يسمح للمستخدمين ذوي الامتيازات المنخفضة بإنشاء روابط رفع موقّعة مسبقًا لخدمة S3 باستخدام بيانات اعتماد AWS المخزنة.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.