Budibase - это платформа с открытым исходным кодом с низким кодом. До 3.38.2 пакеты/рабочий/сержант/api/routes/global/scim.ts прикрепляет к…

Budibase - это платформа с открытым исходным кодом с низким кодом. До 3.38.2 пакеты/рабочий/сержант/api/routes/global/scim.ts прикрепляет к маршрутизатору SCIM только два промежуточных повестка: mustSCIM (проверяет флаг объекта Enterprise и конфигурация SCIM) и doInScimContext (устанавливает контекст запроса SCIM). Нет никакой проверки роли. Любой аутентифицированный пользователь, который достигает работника (работа BASIC, конструктор с рабочим пространством, любой), может вызывать конечные точки SCIM и CRUD каждого пользователя и группу в арендаторе. Эта уязвимость зафиксирована в 3.38.2.