CVE-2026-73303 in Budibase
Tóm tắt
Bởi VulDB • 12/08/2026
Budibase là một nền tảng low-code mã nguồn mở. Trước phiên bản 3.40.0, điểm cuối POST /api/v2/email trên account.budibase.app chấp nhận accountId do người dùng kiểm soát mà không ràng buộc nó với phiên đăng nhập hiện tại, đồng thời chỉ xác minh currentEmail. Một kẻ tấn công đã xác thực có thể lấy được định danh tài khoản của nạn nhân để khởi động quy trình thay đổi email cho nạn nhân, nhận và gửi mã xác minh thông qua POST /api/v2/email/verification, chuyển địa chỉ email của nạn nhân sang một địa chỉ do kẻ tấn công kiểm soát, và hoàn tất việc đặt lại mật khẩu với tư cách là nạn nhân. Vấn đề này đã được khắc phục trong phiên bản 3.40.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.