CVE-2026-54356 — Budibase: 認証済みユーザーによる任意のS3署名付きアップロードURLの発行

公開済み Budibase ワークスペースの低権限 (BASIC ロール) の認証済みユーザーは、POST /api/attachments/:datasourceId/url を呼び出し、ワークスペースのデータソースのサーバー側の AWS 認証情報で署名されたS3 事前署名付きアップロード URL を、攻撃者が制御するオブジェクトキー (データソースに固定バケットがない場合は、攻撃者が制御するバケットも) に対して取得できます。

根本原因

packages/server/src/api/routes/static.ts:

.post(
  "/api/attachments/:datasourceId/url",
  recaptcha,
  authorized(PermissionType.TABLE, PermissionLevel.WRITE), // too low, wrong resource
  controller.getSignedUploadURL
)

packages/server/src/api/controllers/static/index.ts (getSignedUploadURL) は、:datasourceId でデータソースを読み込み、保存されている accessKeyId/secretAccessKey を取得し、攻撃者が指定した bucket/key に対する PutObject リクエストに署名します:

const { bucket, key } = ctx.request.body || {}
const s3 = new S3({
  credentials: {
    accessKeyId: datasource?.config?.accessKeyId as string,
    secretAccessKey: datasource?.config?.secretAccessKey as string,
  },
})
signedUrl = await getSignedUrl(s3, new PutObjectCommand({ Bucket: bucket, Key: key }))

認証情報に基づく署名付き URL の発行は特権アクションですが、このチェックは汎用的なテーブル書き込み権限 (BASIC が保持) のみを要求し、呼び出し元がその特定のデータソースを使用する権限を持っているかを検証しません。期待される結果: 403。実際の結果: signedUrl/publicUrl とともに 200。

影響

• 攻撃者は、組織の保存済み AWS 認証情報で署名された有効な PutObject 事前署名付き URL を取得できます。
• データソースのバケット内の任意のオブジェクトキーに書き込み/上書きができ、データソース設定でバケットが固定されていない場合は、その認証情報が到達できる任意のバケットに対しても可能です。
• 署名付き URL はプラットフォーム外でも機能します (通常の curl/PUT)。

PoC

poc/ を参照してください:

• poc/exploit.sh — curl PoC (ログイン → 署名付き URL の発行 → 証明ファイルのアップロード)。
• poc/poc.py — Python による同じフロー。

python3 poc/poc.py \
  --target http://localhost:10000 \
  --app-id app_xxx --datasource-id datasource_xxx \
  --email [email protected] --password 'Password123!' \
  --bucket my-attachments --key poc/cve-2026-54356/proof.txt \
  --upload

修復策

Budibase 3.41.3+ にアップグレードしてください。すぐにアップグレードできない場合は、S3 データソースの AWS 認証情報を最小権限 (バケット/プレフィックス制限付き IAM ポリシー) に制限し、予期しない PutObject アクティビティを監視してください。

クレジット

@KovachVL によって発見および報告されました。

免責事項

教育/防御目的および調整された開示にのみ使用してください。所有しているシステム、または明示的にテストを許可されたシステムのみテストしてください。