CVE-2026-73303 in Budibase
الملخص
بحسب VulDB • 12/08/2026
Budibase هو منصة منخفضة الكود مفتوحة المصدر. قبل الإصدار 3.40.0، كان نقطة النهاية POST /api/v2/email على account.budibase.app تقبل معرف حساب (accountId) يتحكم فيه العميل دون ربطه بالجلسة المصادق عليها، مع التحقق فقط من currentEmail. يمكن لمهاجم مصادَق عليه يحصل على معرف حساب الضحية بدء سير عمل تغيير البريد الإلكتروني للضحية، واستلام رمز التحقق وإرساله عبر POST /api/v2/email/verification، ونقل بريد الضحية إلى عنوان يتحكم فيه المهاجم، وإكمال إعادة تعيين كلمة المرور بصفتة الضحية. تم إصلاح هذه المشكلة في الإصدار 3.40.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.