🇰🇷 한글 설명
Budibase의 비밀번호 재설정 기능에 속도 제한이나 CAPTCHA와 같은 남용 방지 메커니즘이 없어 발생하는 비즈니스 로직 취약점입니다. 인증되지 않은 공격자가 특정 이메일 주소로 비밀번호 재설정 요청을 반복적으로 보내 대규모 이메일 플러딩 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
비밀번호 찾기 버튼을 무한정 누를 수 있는 허점이 있어, 특정 사용자에게 수많은 스팸 메일을 보내 괴롭히거나 메일함을 마비시킬 수 있는 문제입니다. 공격자가 시스템을 이용해 이메일 폭탄을 투하하는 것과 같습니다.
🇺🇸 원문 (English)
Budibase is an open-source low-code platform. Prior to version 3.23.25, a business logic vulnerability exists in Budibase’s password reset functionality due to the absence of rate limiting, CAPTCHA, or abuse prevention mechanisms on the “Forgot Password” endpoint. An unauthenticated attacker can repeatedly trigger password reset requests for the same email address, resulting in hundreds of password reset emails being sent in a short time window. This enables large-scale email flooding, user harassment, denial of service (DoS) against user inboxes, and potential financial and reputational impact for Budibase. This issue has been patched in version 3.23.25.
📍 영향받는 시스템
Budibase version 3.23.25 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 'Forgot Password' 엔드포인트에 반복적인 HTTP 요청을 전송하여 이메일 폭증 유도
🛡️ 대응 방법
Budibase를 최신 보안 패치가 적용된 버전 3.23.25 이상으로 업데이트하십시오.
🔧 검증 코드
시스템의 현재 버전을 확인하여 3.23.25 미만인지 확인하십시오.
curl -s http://<target-ip>/api/health | grep -i 'version' || echo 'Check version via CLI/UI'