CVE-2026-73410
Publiée le 2026-08-17 · Dernière modification le 2026-08-17
Les instances Budibase antérieures à la version 3.40.0 sont vulnérables à une attaque par DNS rebinding. Un utilisateur authentifié disposant de privilèges de constructeur peut contourner les restrictions réseau pour forcer le serveur à envoyer des requêtes REST arbitraires vers des adresses internes, ce qui pourrait exposer des données privées sensibles ou permettre le contrôle de services internes. Cela nécessite une configuration complexe de la part de l'attaquant, mais peut être exécuté à distance sans aucune interaction de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Budibase is an open-source low-code platform. Prior to 3.40.0, packages/backend-core/src/utils/outboundFetch.ts pinned a validated address through a Node agent, but the REST integration used getDispatcher from packages/backend-core/src/utils/fetch.ts, causing undici to ignore that agent and resolve the hostname again. A builder could use DNS rebinding to make packages/server/src/integrations/rest.ts connect to an internal address after a public address passed validation, with full response access and arbitrary REST methods. The fix adds createPinnedLookup support to the undici dispatcher and passes the validated address to custom fetch implementations. This issue is fixed in version 3.40.0.