CVE-2026-73303 in Budibase
要約
〜によって VulDB • 2026年08月12日
Budibase はオープンソースのローコードプラットフォームです。バージョン 3.40.0 より前では、account.budibase.app の POST /api/v2/email で、認証済みセッションにバインドすることなくクライアント制御可能な accountId を受け付けており、現在の currentEmail のみをチェックしていました。攻撃者が被害者のアカウント識別子を取得すると、POST /api/v2/email/verification 経由で検証コードを受信および送信することで被害者のメール変更ワークフローを開始し、被害者のメールアドレスを攻撃者管理下のアドレスに移動して、被害者に代わってパスワードリセットを完了させることができます。この問題はバージョン 3.40.0 で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.