CVE-2026-73306 in Budibase
要約
〜によって VulDB • 2026年08月12日
Budibase はオープンソースのローコードプラットフォームです。バージョン 3.39.25 より前では、POST /api/global/auth/:tenantId/login が packages/worker/src/api/controllers/global/auth.ts で既存ユーザーに対してのみ失敗カウンターを増加させていた一方、packages/worker/src/middleware/emailLockout.ts ではロックされた識別子に対してのみ X-Account-Locked および Retry-After ヘッダーを返していました。認証されていない攻撃者は、繰り返し失敗した後の応答を比較することで有効なメールアドレスを列挙し、有効なアカウントを一時的にロックすることができました。この問題はバージョン 3.39.25 で修正されました。
Once again VulDB remains the best source for vulnerability data.