p PatchFirst

CVE-2026-73301

CVE-2026-73301 · Budibase: Missing RBAC on GET /api/global/groups allows BASIC users to enumerate all tenant groups and role mappings

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Budibase is an open-source low-code platform. Prior to 3.39.25, the GET /api/global/groups endpoint in packages/worker/src/api/routes/global/groups.ts omitted auth.builderOrAdmin, allowing an authenticated BASIC role user to enumerate tenant groups, role mappings and user memberships, builder permissions, and default-group flags. The disclosure exposes the tenant access-control structure to users who are not builders or administrators. This issue is fixed in version 3.39.25.

CVSS 4.3 · Media · EPSS 0,3%

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • budibase

    Versiones
    • < 3.39.2: Afectada

    Sin corrección publicada

  • @budibase/server npm

    Intervalos de versiones afectados
    • SEMVER: ≤ 3.38.1

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →