WID-SEC-2026-1412 — Budibase: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen und potenziell Privilegieneskalation

Summary

Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Budibase ausnutzen, um Sicherheitsvorkehrungen zu umgehen, und potenziell um seine Privilegien zu erhöhen.

Product

Budibase ist eine quelloffene Low-Code-Plattform für die Erstellung interner Anwendungen, wie z. B. Verwaltungspanels.

Vulnerabilities 1

High 8.1

CVE-2026-42239

Budibase auth session cookies are set with httpOnly:false — any XSS can lead to full account takeover

Budibase is an open-source low-code platform. Prior to version 3.35.10, the budibase:auth cookie containing the JWT session token is set with httpOnly: false at packages/backend-core/src/utils/utils.ts:218. JavaScript can read this cookie via document.cookie.…

Budibase budibase @budibase/backend-core npm

May 7, 2026

Revision history

2026-05-07 #1
Initiale Fassung

References

Budibase GitHub vom 2026-05-07
https://github.com/Budibase/budibase/security/advisories/GHSA-4f9j-vr4p-642r
EU Vulnerability Database vom 2026-05-07
https://euvd.enisa.europa.eu/enisa/EUVD-2026-28429