@budibase/server: Mass assignment permite sobrescrever appId em webhooks
Vulnerabilidade de mass assignment no endpoint de trigger de webhook permite que um atacante sobrescreva a propriedade interna `appId` incluindo-a no corpo da r
O que mudou
Vulnerabilidade de mass assignment no endpoint de trigger de webhook permite que um atacante sobrescreva a propriedade interna `appId` incluindo-a no corpo da requisição POST, fazendo com que a automação seja executada no contexto do workspace da vítima.
Quem isso afeta
Todas as instâncias do Budibase com automações via webhook; qualquer workspace com um trigger de webhook está vulnerável. Atacantes com acesso de builder a qualquer workspace na mesma instância podem comprometer outros workspaces.
O que fazer hoje
Aplique a correção recomendada: garanta que `appId` seja controlado pelo servidor antes de enfileirar o job de automação assíncrono, ou use uma lista de permissões para o spread de campos do webhook.