CVE-2026-73306 in Budibase
요약
\~에 의해 VulDB • 2026. 08. 12.
Budibase는 오픈소스 로우코드 플랫폼입니다. 버전 3.39.25 이전에서는 POST /api/global/auth/:tenantId/login 엔드포인트가 packages/worker/src/api/controllers/global/auth.ts에서 기존 사용자에 대해서만 실패 카운터를 증가시켰고, packages/worker/src/middleware/emailLockout.ts는 잠긴 식별자에 대해 X-Account-Locked 및 Retry-After 헤더만 반환했습니다. 인증되지 않은 공격자는 반복적인 실패 후 응답을 비교하여 유효한 이메일 주소를 열거하고 임시로 유효한 계정을 잠글 수 있었습니다. 이 문제는 버전 3.39.25에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.