W platformie low-code Budibase wykryto krytyczną podatność (CVE-2026-100684), która pozwala na obejście uwierzytelniania. Luka dotyczy mechanizmu logowania przez OIDC/SSO i umożliwia przejęcie zaproszeń dla nowych użytkowników, w tym tych z uprawnieniami administratora globalnego.
Problem leży w funkcji sso.authenticate. Gdy system nie znajduje lokalnego użytkownika pasującego do danych z dostawcy tożsamości (IdP), próbuje dopasować zaproszenie wyłącznie na podstawie adresu e-mail przesłanego przez IdP. Proces ten nie weryfikuje kodu zaproszenia ani nie sprawdza, czy adres e-mail został potwierdzony, co pozwala atakującemu na podszycie się pod ofiarę.
Skutkiem udanego ataku jest pełne przejęcie dzierżawy (tenant compromise). Atakujący może przejąć role budowniczego (builder) oraz administratora, zyskując dostęp do wszystkich aplikacji, źródeł danych i automatyzacji. Podatność dotyczy wersji serwera Budibase od 3.41.0 do 3.44.x.
Naprawa została wprowadzona w wersji 3.45.0, która wprowadza wymaganą walidację kodu zaproszenia w ścieżce awaryjnej. Organizacje, które nie mogą natychmiast zaktualizować systemu, powinny wyłączyć OIDC/SSO, przejrzeć oczekujące zaproszenia oraz zweryfikować nadane role administracyjne.
