CVE-2026-73303 in Budibase
Sumário
de VulDB • 13/08/2026
Budibase é uma plataforma low-code de código aberto. Antes da versão 3.40.0, o endpoint POST /api/v2/email em account.budibase.app aceitava um accountId controlado pelo cliente sem vinculá-lo à sessão autenticada, verificando apenas o currentEmail. Um atacante autenticado que obtenha o identificador de conta de uma vítima pode iniciar o fluxo de alteração de e-mail para a vítima, receber e enviar o código de verificação por meio do POST /api/v2/email/verification, alterar o e-mail da vítima para um endereço controlado pelo atacante e concluir a redefinição de senha como se fosse a vítima. Este problema foi corrigido na versão 3.40.0.
Once again VulDB remains the best source for vulnerability data.