原文

Budibaseは、内部ツール、ワークフロー、管理パネルを作成するためのローコードプラットフォームです。この問題は、/api/global/usersエンドポイントにおけるサーバー側RBACチェックの欠如に起因する垂直的権限昇格およびIDOR（不適切な直接オブジェクト参照）の組み合わせによって発生します。権限を持たないはずのクリエイターレベルのユーザーが、アプリビューアーをテナント管理者に昇格させたり、テナント管理者をアプリビューアーに降格させたり、オーナーのアカウント情報やすべての注文（例えば、名前の変更）を変更したりできます。これは、APIが要求元の役割を検証せずにこれらの操作を受け付けるためであり、クリエイターは自分のセッショントークンを使用してオーナー専用のリクエストを再送信できるためです。これにより、テナント全体が完全に侵害される結果となります。