@budibase/server: OAuth2 SSRF via fetchToken sem verificação de blacklist

A função fetchToken do SDK OAuth2 faz POST para URL fornecida pelo builder sem verificar a blacklist, permitindo SSRF. O schema Joi da URL OAuth2 não restringe scheme ou host.

Todas as implantações do Budibase (Cloud e self-hosted) que usam validação OAuth2. Qualquer conta de builder pode explorar.

Aplique a correção recomendada: chame blacklist.isBlacklisted antes do fetch e defina redirect: 'manual' no fetchConfig, ou substitua a chamada fetch por fetchWithBlacklist.