CVE-2026-72856

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.40.0

Description Existe uma falha de bypass de autorização e autenticação no endpoint 'PUT /api/global/users/tenant/owner' (changeTenantOwnerEmail). Em instâncias auto-hospedadas onde SELF HOSTED ou DISABLE ACCOUNT PORTAL estão configurados, o middleware cloudRestricted é inativo. Consequentemente, a rota é protegida apenas por uma verificação de autenticação geral, permitindo que qualquer usuário autenticado, incluindo aqueles com privilégios básicos, reatribua o e-mail do detentor da conta do tenant para um endereço controlado por um invasor. Isso permite que o invasor utilize o processo público de redefinição de senha para assumir o controle da conta administrativa e obter acesso administrativo total.

Recommendations Atualize o Budibase para a versão 3.40.0 ou posterior.