CVE-2026-73306

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.39.25

Description Um invasor não autenticado pode enumerar endereços de e-mail válidos e bloquear temporariamente contas válidas. Isso ocorre porque o contador de falhas em packages/worker/src/api/controllers/global/auth.ts é incrementado apenas para usuários existentes durante requisições ao endpoint '/api/global/auth/:tenantId/login', enquanto o middleware packages/worker/src/middleware/emailLockout.ts retorna os cabeçalhos X-Account-Locked e Retry-After apenas para identificadores bloqueados. Ao comparar essas respostas após repetidas tentativas malsucedidas, um invasor pode distinguir entre contas válidas e inválidas.

Recommendations Atualizar para a versão 3.39.25.