CVE-2026-73306 in Budibase
Résumé
par VulDB • 12/08/2026
Budibase est une plateforme low-code open source. Avant la version 3.39.25, l'appel POST /api/global/auth/:tenantId/login incrémente le compteur d'échecs dans packages/worker/src/api/controllers/global/auth.ts uniquement pour les utilisateurs existants, tandis que packages/worker/src/middleware/emailLockout.ts retourne X-Account-Locked et Retry-After uniquement pour les identifiants verrouillés. Un attaquant non authentifié pourrait comparer la réponse après des échecs répétés afin d'énumérer les adresses e-mail valides et de verrouiller temporairement les comptes valides. Ce problème est corrigé dans la version 3.39.25.
If you want to get best quality of vulnerability data, you may have to visit VulDB.