Budibase: वेबहुक ट्रिगर और बैश ऑटोमेशन स्टेप के माध्यम से अनऑथेंटिकेटेड रिमोट कोड एग्जीक्यूशन (Remote Code Execution)

Budibase में CVE-2026-35216 एक गैर-प्रमाणित हमलावर को Budibase सर्वर पर रिमोट कोड एग्जीक्यूशन (RCE) प्राप्त करने की अनुमति देता है। यह सार्वजनिक वेबहुक एंडपॉइंट के माध्यम से Bash स्टेप वाले ऑटोमेशन को ट्रिगर करके हासिल किया जाता है। इस भेद्यता की गंभीरता उच्च है (CVSS 9.0) इसकी आसानी से शोषण और संभावित प्रभाव के कारण। प्रक्रिया कंटेनर के अंदर root के रूप में चलती है, जिसका अर्थ है कि एक सफल हमलावर सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकता है। वेबहुक एंडपॉइंट पर प्रमाणीकरण की कमी शोषण को सरल बनाती है, क्योंकि दुर्भावनापूर्ण ऑटोमेशन को सक्रिय करने के लिए किसी भी क्रेडेंशियल की आवश्यकता नहीं होती है। इस जोखिम को कम करने के लिए संस्करण 3.33.4 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है।

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-04
3. EPSS अद्यतन2026-04-11

CVE-2026-35216 को कम करने का मुख्य समाधान Budibase को संस्करण 3.33.4 या बाद के संस्करण में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो सार्वजनिक वेबहुक के माध्यम से मनमाना Bash कमांड के निष्पादन को रोकता है। इसके अतिरिक्त, संभावित रूप से शोषण किए जा सकने वाले Bash स्टेप्स की पहचान करने और हटाने के लिए सभी मौजूदा ऑटोमेशन की समीक्षा करें। एक निवारक उपाय के रूप में, फ़ायरवॉल या एक्सेस कंट्रोल लिस्ट (ACL) का उपयोग करके सार्वजनिक वेबहुक तक पहुंच को प्रतिबंधित करने पर विचार करें, हालांकि अपडेट सबसे प्रभावी समाधान है। Budibase सर्वर लॉग की निगरानी वेबहुक से संबंधित संदिग्ध गतिविधि के लिए भी संभावित शोषण प्रयासों का पता लगाने और उनका जवाब देने में मदद कर सकती है।