CVE-2026-54356 — Budibase: emissione autenticata di URL di upload firmati S3 arbitrari

Un utente autenticato con privilegi bassi (ruolo BASIC) di un workspace Budibase pubblicato può chiamare POST /api/attachments/:datasourceId/url e ottenere un URL di upload pre-firmato S3 firmato con le credenziali AWS lato server del datasource del workspace, per una chiave oggetto controllata dall'attaccante (e, se il datasource non ha un bucket fisso, anche un bucket controllato dall'attaccante).

Causa principale

packages/server/src/api/routes/static.ts:

.post(
  "/api/attachments/:datasourceId/url",
  recaptcha,
  authorized(PermissionType.TABLE, PermissionLevel.WRITE), // too low, wrong resource
  controller.getSignedUploadURL
)

packages/server/src/api/controllers/static/index.ts (getSignedUploadURL) carica il datasource tramite :datasourceId, recupera le accessKeyId/secretAccessKey in esso memorizzate e firma una richiesta PutObject per bucket/key forniti dall'attaccante:

const { bucket, key } = ctx.request.body || {}
const s3 = new S3({
  credentials: {
    accessKeyId: datasource?.config?.accessKeyId as string,
    secretAccessKey: datasource?.config?.secretAccessKey as string,
  },
})
signedUrl = await getSignedUrl(s3, new PutObjectCommand({ Bucket: bucket, Key: key }))

Generare un URL firmato basato su credenziali è un'azione privilegiata, ma il controllo richiede solo l'autorizzazione generica di scrittura sulle tabelle (che BASIC possiede) e non verifica mai che il chiamante abbia il diritto di utilizzare quello specifico datasource. Atteso: 403. Reale: 200 con signedUrl/publicUrl.

Impatto

• L'attaccante ottiene URL pre-firmati PutObject validi firmati con le credenziali AWS memorizzate dell'organizzazione.
• Può scrivere/sovrascrivere chiavi oggetto arbitrarie nel bucket del datasource e — quando nessun bucket è fissato nella configurazione del datasource — potenzialmente qualsiasi bucket raggiungibile da quelle credenziali.
• L'URL firmato funziona anche fuori dalla piattaforma (curl/PUT semplici).

PoC

Vedi poc/:

• poc/exploit.sh — PoC in curl (login → generazione URL firmato → upload del file di prova).
• poc/poc.py — stesso flusso in Python.

python3 poc/poc.py \
  --target http://localhost:10000 \
  --app-id app_xxx --datasource-id datasource_xxx \
  --email [email protected] --password 'Password123!' \
  --bucket my-attachments --key poc/cve-2026-54356/proof.txt \
  --upload

Rimedio

Aggiorna a Budibase 3.41.3+. Se non puoi aggiornare subito, limita le credenziali AWS del datasource S3 al minimo privilegio (policy IAM vincolata a bucket/prefissi) e monitora l'attività PutObject inattesa.

Crediti

Scoperto e segnalato da @KovachVL.

Disclaimer

Solo per uso educativo/difensivo e divulgazione coordinata. Testa esclusivamente sistemi che possiedi o per i quali hai esplicita autorizzazione.