文章总结： Budibase低代码平台爆出高危未授权访问漏洞CVE-2026-31816，源于中间件正则匹配缺陷导致认证绕过。攻击者利用特定URL参数即可绕过鉴权访问所有API端点，结合目录遍历漏洞可窃取JWT密钥、数据库凭证等核心机密。漏洞CVSS评分9.1，影响版本3.31.4及以下，官方已发布3.31.5版本修复，建议受影响用户立即升级。 综合评分： 90 文章分类： 漏洞预警,漏洞分析,漏洞POC,WEB安全

【已复现】Budibase 低代码平台未授权访问漏洞（CVE-2026-31816）

原创

安全探索者 安全探索者

安全探索者

2026年3月12日 16:19 广东

↑点击关注，获取更多漏洞预警，技术分享

0x01 组件介绍

  Budibase 是一款开源低代码平台，用于快速构建内部工具、工作流自动化程序及管理后台面板。该平台支持连接多种数据库与 API 数据源，并内置用户权限管理与 Webhook 自动化能力，被大量企业广泛用于内部系统的快速搭建与集成。其服务端基于 Node.js 与 Koa 框架构建，通过中间件体系实现 API 鉴权与访问控制。

fofa语法：title==”Budibase”

0x02 漏洞描述    近日， Budibase官方揭露了其平台中存在一个高危认证绕过漏洞（CVE-2026-31816）。该漏洞源于服务端 authorized() 中间件在识别 Webhook 路径时使用了非锚定正则表达式，导致其错误地匹配了 URL 中的查询参数。远程攻击者只需在 API 请求末尾拼接特定的 Webhook 路径字符串（如 ?/webhooks/trigger），即可绕过身份认证、角色鉴权及 CSRF 防护，实现对服务端所有 API 端点的完全访问与操作。结合其CVE-2026-30240 目录遍历漏洞，可实现获取平台上所有密钥

| | | | | | — | — | — | — | | 漏洞分类 | 未授权访问 | | | | CVSS 3.1分数 | 9.1 | 漏洞等级 | 严重 | | POC/EXP | 已公开 | 可利用性 | 高 |

0x03 影响版本

Budibase ≤ 3.31.4

| | |

0x04 漏洞验证

目前POC/EXP已经公开（后台留言：CVE-2026-31816，获取测试POC)

概念性验证：

发送数据包，出现下面的即可证明漏洞存在,这里只针对未授权进行验证

0x05 漏洞影响

由于该漏洞影响范围较广，危害较大。通过以上复现过程，我们可以知道该漏洞的利用过程比较简单，且能造成的危害是高危的，可以未授权读取系统大部分接口，甚至可以窃取 JWT 密钥、数据库凭证和 API 令牌，目前已有用户在生产系统中确认，19 个关键机密（包括 AWS IAM 密钥和 OpenAI API 密钥）被成功窃取。企业应该尽快排查是否有使用该组件，并尽快做出对应措施

0x06 修复建议

目前官方已发布最新版本，Budibase 升级至 3.31.5 或更高版本

https://github.com/Budibase/budibase/releases

0X07 参考链接

https://github.com/Budibase/budibase/security/advisories/GHSA-gw94-hprh-4wj8

https://github.com/Budibase/budibase/security/advisories/GHSA-pqcr-jmfv-c9cp

https://github.com/Budibase/budibase/releases

0x08 免责声明

本文所涉及的任何技术、信息或工具，仅供学习和参考之用。 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全探索者 安全探索者 安全探索者《【已复现】Budibase 低代码平台未授权访问漏洞（CVE-2026-31816）》