CVE-2026-73306 in Budibase
Riassunto
di VulDB • 12/08/2026
Budibase è una piattaforma low-code open-source. Prima della versione 3.39.25, l'endpoint POST /api/global/auth/:tenantId/login incrementava il contatore dei tentativi falliti nel file packages/worker/src/api/controllers/global/auth.ts solo per gli utenti esistenti, mentre il middleware packages/worker/src/middleware/emailLockout.ts restituiva le intestazioni X-Account-Locked e Retry-After esclusivamente per gli identificatori bloccati. Un attaccante non autenticato avrebbe potuto confrontare le risposte dopo ripetuti tentativi falliti per enumerare gli indirizzi email validi e bloccare temporaneamente i account validi. Questo problema è stato risolto nella versione 3.39.25.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.