Budibase: Falsificação de Solicitação do Lado do Servidor (Server-Side Request Forgery - SSRF) via Conector REST com Lista Negra Padrão Vazia

CVE-2026-31818 afeta versões do Budibase anteriores à 3.33.4, permitindo um ataque de Server-Side Request Forgery (SSRF). A vulnerabilidade reside na integração do conector REST e no módulo de lista negra do backend. Devido a uma configuração padrão incorreta da lista negra, um atacante com privilégios mínimos (função de Construtor ou permissões de QUERY WRITE para executar consultas existentes) pode manipular o conector REST para fazer solicitações a recursos internos que normalmente não seriam acessíveis externamente. Isso pode resultar na exfiltração de dados confidenciais, como informações de configuração, bancos de dados internos ou até mesmo acesso a outros serviços internos através da rede. A severidade crítica se deve ao baixo nível de privilégios necessários e ao potencial de acesso a dados sensíveis.

Organizations utilizing self-hosted Budibase instances are at risk, particularly those relying on the REST Datasource integration for data connectivity. Environments with lax permission controls for Builder roles or QUERY WRITE access are especially vulnerable. Shared hosting environments where multiple users have access to Budibase instances should be considered high-risk.

• nodejs / server:

ps aux | grep budibase

• nodejs / server:

journalctl -u budibase --since "1 hour ago" | grep -i "rest datasource"

• generic web: Use curl to probe for REST endpoints and observe responses for internal IP addresses or service names.

curl -v http://<budibase_host>/api/rest/datasources

1. 2026-04-03Disclosure

   disclosure

2. 2026-04-03Patch

   patch

1. Reservado2026-03-09
2. Publicada2026-04-03
3. EPSS atualizado2026-04-11

A solução para CVE-2026-31818 é atualizar o Budibase para a versão 3.33.4 ou superior. Esta versão inclui uma lista negra padrão corretamente configurada que bloqueia as solicitações SSRF. Como medida preventiva adicional, recomenda-se revisar e fortalecer as configurações da lista negra para o conector REST, garantindo que todos os domínios e endereços IP internos que devem ser protegidos estejam incluídos. Além disso, recomenda-se limitar os privilégios dos usuários que utilizam o conector REST, concedendo apenas as permissões necessárias para realizar suas tarefas. Monitorar os logs de acesso do conector REST pode ajudar a detectar e responder a possíveis tentativas de exploração.