CVE-2026-73303 in Budibase
Zusammenfassung
von VulDB • 12.08.2026
Budibase ist eine Open-Source-Lowcode-Plattform. Vor Version 3.40.0 akzeptierte POST /api/v2/email auf account.budibase.app ein clientgesteuertes accountId, ohne es an die authentifizierte Sitzung zu binden, und überprüfte nur currentEmail. Ein authentifizierter Angreifer, der eine Opfer-Account-ID erlangt hat, kann den E-Mail-Änderungsworkflow für das Opfer starten, den Bestätigungscode durch POST /api/v2/email/verification empfangen und einreichen, die E-Mail-Adresse des Opfers auf eine vom Angreifer kontrollierte Adresse verschieben und als das Opfer einen Passwortzurücksetzungsvorgang abschließen. Dieses Problem wurde in Version 3.40.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.