注目★★★★★GitHub Advisory
Budibase の自動化ステップに SSRF 脆弱性、IP ブロックリスト迂回可能
30秒で把握
- 1Budibase 自動化ステップ (Webhook 他 5 種) が IP ブロックリスト検証なしで SSRF 実行可能
- 2REST API のブロックリストもデフォルト空・内部ネットワーク・クラウドメタデータサービスへのアクセスリスク
- 3BLACKLIST_IPS 設定確認と自動化ステップの入力値検証・実行権限制限を今週中に実施
要約
Budibase の自動化ステップ (Webhook・Zapier・n8n・Slack・Discord・Make.com) は、ユーザー指定 URL への HTTP リクエストを `node-fetch` で直接発行し、REST API に存在する IP ブロックリスト保護を完全に迂回できる。Webhook・Zapier・n8n・Slack・Discord の各ステップのコード上、IP 検証が一切実装されていない。REST API 側も `BLACKLIST_IPS` が未設定時にブロックリストがデフォルト空になるため、内部ネットワークへの SSRF 攻撃が可能。
あなたへの影響
Budibase を自動化フローで外部連携 (Slack・Discord・Zapier など) に運用するチームは。
推奨：`BLACKLIST_IPS` の明示的設定と自動化ステップ実行ユーザーの権限制限を即時確認し、信頼できない入力が URL に反映されないアーキテクチャ確認が必須。