CVE-2026-73406

Yüksək

Təsvir

Budibase açıq mənbəli low-code platformadır. 3.39.32 versiyasından əvvəl, packages/worker/src/api/index.ts faylında GET /api/global/users/tenant/:id ünvanı PUBLIC_ENDPOINTS siyahısına daxil edilmişdi və tenantUserLookup funksiyası tam PlatformUser sənədini qaytarırdı. Autentifikasiya olunmamış istifadəçi e-poçtu və ya istifadəçi identifikatorunu sorğulayaraq mövcud olan istifadəçiləri olmayanlardan ayıra bilər, həmçinin tenant identifikatorlarını, istifadəçi identifikatorlarını, e-poçt ünvanlarını, SSO identifikatorlarını və sənəd reviziya metaməlumatlarını əldə edə bilərdi. Bu problem 3.39.32 versiyasında düzəldilmişdir.

CiddilikYüksək

CVSS7.5

İstismar ehtimalı—

Məhsul@budibase/server

Dərc12 avq 2026

İlk görülmə12 avq 2026

Zəiflik növüCWE-200Həssas məlumatın ifşası

Necə düzəltmək olar

Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
@budibase/servernpm	v ≤ 3.38.1	—

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.