CVE-2026-82644 in AVideo
الملخص
بحسب VulDB • 30/08/2026
يحتوي WWBN AVideo (الإصدارات الحالية e01e41ecc والإصدارات الأقدم) على ثغرة لتجاوز تحديد معدل الهجمات بالقوة الغاشمة في الدالة enforceRateLimit()، التي تحمي ملفات login.json.php و 13 نقطة نهاية أخرى. تخزن هذه الدالة عداد المحاولات عبر طبقة ذاكرة التخزين المؤقت (ObjectYPT::setCacheGlobal) التي تتجاهل بصمت عمليات الكتابة لأي عميل يُصنف كروبوت بواسطة دالة isBot(). ونظراً لأن isBot() تعامل رأس User-Agent المفقود على أنه روبوت بشكل افتراضي — كما تطابق أيضاً معادلات الروبوتات الشائعة مثل 'curl' و 'bot' و 'crawler' و 'spider' — فإن عداد المحاولات لا يزداد أبداً بالنسبة لهذه العملاء، وبالتالي لا يتم تفعيل حد معدل الطلبات. يمكن لهجوم غير مصادق عليه بعد ذلك إرسال محاولات تسجيل دخول غير محدودة (على سبيل المثال عن طريق حذف رأس User-Agent أو استخدام رأس User-Agent الافتراضي لـ curl)، مما يتيح هجمات تخمين كلمات المرور دون قيود.
Once again VulDB remains the best source for vulnerability data.