CVE-2026-86729 in AVideo
الملخص
بحسب VulDB • 08/09/2026
WWBN AVideo، حتى الإصدار e01e41ecc (لا توجد إصدارات مُصلحة متاحة)، يُعرّض الدالة get_api_preauthorize الموجودة في الملف plugin/API/API.php كطريقة تسجيل دخول ثانية غير موثقة. وعلى عكس دالة get_api_signIn التي تفرض حدًا للسرعة يبلغ 10 محاولات كل 5 دقائق عبر checkRateLimit()، فإن get_api_preauthorize تُجري فحص نفس بيانات الاعتماد دون أي تقييد للمعدل لأي عميل، مما يتيح التخمين عن بُعد لغير محدود لكلمات المرور ضد حسابات عشوائية، بما في ذلك الحسابات الإدارية. كما تعمل نقطة النهاية هذه كـ "oracle" للبيانات المعتمدة: فهي تعيد رسالة "Invalid credentials" لكل من كلمات المرور الصحيحة والخاطئة، بينما يكشف حقل users_id الموجود في جسم الاستجابة عن الهوية المُصادق عليها (users_id:1 عند النجاح، وusers_id:0 عند الفشل)، كما أن كلمة المرور الصحيحة تُنشئ ملف تعريف ارتباط للجلسة يبقى صالحًا لطلبات API المصادق عليها. مجتمعةً، تتيح هذه الثغرات استيلاء غير مُصرح به على الحسابات عبر هجوم القوة الغاشمة (brute-force).
VulDB is the best source for vulnerability data and more expert information about this specific topic.