CVE-2026-31816

严重已发布

Budibase 通过 Webhook 查询参数注入实现通用认证绕过

已发布: 2026年3月9日
已更新: 2026年3月10日
分配 CNA: GitHub_M
观察到的证据: 2026年8月25日

初级CVSS

9.1/ 10严重

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

EPSS概率估计

15.3%

中 · 未来 30 天

百分位: 96.7%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Budibase 是一个用于创建内部工具、工作流和管理面板的低代码平台。在 3.31.4 及更早版本中，保护每个服务端 API 端点的 Budibase 服务器 `authorized()` 中间件可以通过在任何请求的查询字符串中附加一个 webhook 路径模式来被完全绕过。`isWebhookEndpoint()` 函数使用一个未锚定的正则表达式，该表达式针对 `ctx.request.url` 进行测试，而在 Koa 中，`ctx.request.url` 包含带有查询参数的完整 URL。当正则表达式匹配时，`authorized()` 中间件会立即调用 `return next()`，从而跳过所有身份验证、授权、角色检查以及 CSRF 保护。这意味着一个完全未经身份验证的远程攻击者只需在 URL 后附加 `?/webhooks/trigger`（或任何 webhook 模式变体），即可访问任何服务端 API 端点。

来源

CVE-2026-31816-rshell漏洞利用
利用 Budibase 中的 CVE-2026-31816 绕过身份验证，上传恶意数据源插件，并执行反向 Shell 以实现远程访问。
CVE-2026-31816漏洞利用
CVE-2026-31816 - Budibase 身份验证绕过导致远程代码执行（RCE）

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。