Budibase CVE-2026-100681: CVSS 5.4 Medium, a wyciekają żywe tokeny OAuth

CVE-2026-100681 ma bazowy CVSS 5.4 (Medium) — i to dobry przykład, dlaczego base severity potrafi nie oddawać realnego blast radius. To nieuwierzytelniony SSRF w endpoincie webhooka Microsoft Teams w Budibase (< 3.45.0), który akceptuje sfałszowane Bot Framework activities z dowolnym serviceUrl. Skutkiem nie jest „tylko” SSRF — to wysyłka żywych tokenów Microsoft OAuth na host atakującego.

CVE-2026-100681 (Budibase < 3.45.0, fix 3.45.0, CVSS 5.4): nieuwierzytelniony SSRF w webhooku Teams — sfałszowane Bot Framework activity z attacker-controlled serviceUrl jest persystowane i używane do wszystkich kolejnych odpowiedzi bota.

Realny skutek: serwer wysyła żywe tokeny Microsoft OAuth w nagłówku Authorization na host atakującego + blind internal network access.

Attack path

unauthenticated POST -> Teams webhook endpoint -> forged Bot Framework activity with attacker serviceUrl -> serviceUrl persisted (used for ALL subsequent bot replies) -> server sends live MS OAuth token in Authorization header -> attacker host receives token + blind internal SSRF

Severity ≠ blast radius

Base CVSS 5.4 opisuje techniczne właściwości wektora, ale nie to, że skutkiem jest exfiltracja aktywnych credentiali. Token OAuth w ręce atakującego to dostęp do tożsamości integracji Teams — środowiskowo znacznie poważniej niż „Medium SSRF”. To klasyczne severity != priority: liczy się, co ten SSRF pozwala ukraść i do czego prowadzi credential.

Persystencja zmienia jednorazowy request w kanał wyciekowy

Kluczowe jest to, że wstrzyknięty serviceUrl jest persystowany i używany do wszystkich późniejszych odpowiedzi bota. Jednorazowy sfałszowany request tworzy trwały kanał, przez który każda kolejna odpowiedź wysyła token do atakującego — dopóki wartość nie zostanie wyczyszczona. Remediacja to nie tylko upgrade.

Co powinien zrobić VE

Upgrade do 3.45.0+; ustal, czy instancja jest internet-facing i czy webhook Teams był osiągalny; przy możliwej ekspozycji rotuj tokeny Microsoft OAuth i przejrzyj logi wychodzących żądań (nietypowe serviceUrl/hosty). Zbadaj też, czy w bazie nie ma persystowanego, attacker-controlled serviceUrl. Uwaga: to część większej rodziny wrześniowych CVE Budibase (m.in. incorrect authorization, privilege escalation, SQLi) — zmapuj cały security release, nie tylko ten jeden identyfikator.

Powiązane na blogu

Budibase: admin ≠ root — wcześniejszy finding w tym samym produkcie
WooCommerce: SSRF i płatności — SSRF jako pivot, nie „tylko” SSRF

Źródła

CVE-2026-100681 (Budibase server SSRF) — cve.org
Budibase 3.45.0 release / security advisory — github.com

Nota redakcyjna: stan informacji 28 września 2026, na podstawie publicznych danych CVE (CVE.org / bazy podatności). CVE-2026-100681 (Budibase < 3.45.0, fix 3.45.0): nieuwierzytelniony SSRF w webhooku Teams z exfiltracją tokenów OAuth. CVSS 5.4 wg publicznej oceny bazowej; artykuł argumentuje, że blast radius jest wyższy niż base severity.