平台
nodejs
组件
@budibase/server
修复版本
3.33.5
3.33.4
CVE-2026-35216是Budibase中存在的远程代码执行（RCE）漏洞。未经身份验证的攻击者可以通过公共webhook端点触发包含Bash步骤的自动化流程，从而在Budibase服务器上实现远程代码执行。该过程在容器内以root身份执行。该漏洞影响Budibase <= 3.33.4版本，已在3.33.4版本中修复。
Budibase 中的 CVE-2026-35216 允许未经身份验证的攻击者在 Budibase 服务器上实现远程代码执行 (RCE)。这通过触发包含 Bash 步骤的自动化，并通过公共 webhook 端点来实现。此漏洞的严重程度很高 (CVSS 9.0)，原因是易于利用和潜在影响。进程在容器内部以 root 用户身份运行，这意味着如果攻击者成功利用此漏洞，他们可能获得对系统的完全控制权。公共 webhook 端点缺乏身份验证使得利用变得简单，因为不需要任何凭据即可激活恶意自动化。为了减轻此风险，必须更新到 3.33.4 或更高版本。
攻击者可以通过向 Budibase 的公共 webhook 端点发送 HTTP POST 请求来利用此漏洞。此请求必须包含触发配置有 Bash 步骤的自动化的数据。Bash 步骤可能包含将在容器内部以 root 权限执行的恶意命令。由于不需要身份验证，因此任何可以访问 Budibase 运行的网络的人员都可能潜在地利用此漏洞。利用的简单性使其成为一个重大问题，尤其是在互联网暴露的环境中。
漏洞利用状态
EPSS
0.55% (68% 百分位)
CISA SSVC
减轻 CVE-2026-35216 的主要解决方案是将 Budibase 更新到 3.33.4 或更高版本。此版本包含一个修复程序，可防止通过公共 webhook 执行任意 Bash 命令。此外，请审查所有现有自动化，以识别和删除任何可能被利用的 Bash 步骤。作为预防措施，请考虑使用防火墙或访问控制列表 (ACL) 限制对公共 webhook 的访问，尽管更新是最有效的解决方案。监控 Budibase 服务器日志中与 webhook 相关的可疑活动也有助于检测和响应潜在的利用尝试。
Actualice Budibase a la versión 3.33.4 o superior. Esta versión corrige la vulnerabilidad de ejecución remota de código no autenticada a través de webhooks y pasos de automatización Bash. La actualización evitará que atacantes no autenticados ejecuten código arbitrario en el servidor.
漏洞分析和关键警报直接发送到您的邮箱。
Webhook 是一种应用程序实时向另一应用程序提供信息的方式。在本例中，Budibase webhook 用于触发自动化。
以 root 用户身份运行是 Budibase 中某些自动化步骤的默认配置。这允许自动化执行需要提升权限的任务，但也增加了如果漏洞被利用的风险。
如果无法立即更新，请考虑使用防火墙或 ACL 限制对公共 webhook 的访问。但是，这只是部分缓解措施，更新是推荐的解决方案。
检查 Budibase 中每个自动化的配置。查找配置为执行 Bash 命令的步骤。
目前没有可用的自动工具来检测此漏洞。确定您是否容易受到攻击的最佳方法是验证您运行的 Budibase 版本。
CVSS 向量