CVE-2026-73304

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.39.25

Descrição Existe um problema onde os endpoints 'GET /api/users/metadata' e 'GET /api/users/metadata/:id' retornam objetos de usuário processados pelo arquivo packages/server/src/utilities/global.ts sem remover as variáveis oauth2.accessToken e oauth2.refreshToken. Um usuário com a função POWER pode recuperar credenciais de provedores de identidade de usuários autenticados via Single Sign-On (SSO), podendo utilizar tokens de atualização para manter acesso persistente a serviços conectados.

Recomendações Atualizar para a versão 3.39.25.