Budibase est une plateforme low-code open-source. Avant la version 3.33.4, le point de terminaison de téléversement de fichier de plugin (POST /api/plugin/upload) transmet directement le nom de fichier fourni par l'utilisateur à createTempFolder() sans assainir les séquences de traversée de chemin. Un attaquant disposant des privilèges Global Builder peut créer un téléversement multipart avec un nom de fichier contenant ../ pour supprimer des répertoires arbitraires via rmSync et écrire des fichiers arbitraires via l'extraction d'archive tarball vers n'importe quel chemin du système de fichiers auquel le processus Node.js peut accéder. Ce problème

Cette vulnérabilité permet à un attaquant disposant des privilèges Global Builder de contourner les contrôles d'accès et d'interagir directement avec le système de fichiers du serveur Budibase. Un attaquant pourrait exploiter cette faille pour supprimer des fichiers critiques, écraser des fichiers de configuration, ou même exécuter du code malveillant en téléversant des fichiers spécialement conçus. Le risque est particulièrement élevé car l'attaquant peut potentiellement compromettre l'ensemble de l'environnement Budibase, affectant potentiellement les données et les applications hébergées.

Budibase deployments where users have Global Builder privileges are at the highest risk. Shared hosting environments running Budibase are particularly vulnerable, as a compromised user account could potentially impact the entire host. Organizations relying on Budibase for sensitive data or critical business processes should prioritize patching.

• linux / server: Monitor Node.js process logs for suspicious file deletion or creation activity. Use lsof or fuser to identify processes accessing unusual file paths.

lsof | grep /path/to/suspicious/file

• generic web: Examine access logs for POST requests to /api/plugin/upload with filenames containing ../ sequences.

grep 'POST /api/plugin/upload.*\.\\.' access.log

• windows / supply-chain: Monitor PowerShell execution logs for commands related to file manipulation or tarball extraction within the Budibase process. Use Windows Defender to scan for suspicious files created during the upload process.

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-03
3. Modifiée2026-04-08
4. EPSS mis à jour2026-04-11

La solution principale est de mettre à jour Budibase vers la version 3.33.4 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est fortement recommandé de restreindre l'accès aux privilèges Global Builder au strict minimum nécessaire. Il est également possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des séquences de traversal de chemin dans le nom de fichier. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute tentative d'exploitation de cette vulnérabilité.