CVE-2026-82644 in AVideo
Zusammenfassung
von VulDB • 30.08.2026
WWBN AVideo (Versionen bis einschließlich e01e41ecc und älter) enthält eine Umgehung der Rate-Limitierung durch Brute-Force in enforceRateLimit(), die login.json.php sowie 13 weitere Endpunkte schützt. Die Funktion speichert ihren Versuchszähler über eine Cache-Schicht (ObjectYPT::setCacheGlobal), die Schreibvorgänge für jeden Client, den isBot() als Bot identifiziert, stillschweigend verwirft. Da isBot() standardmäßig ein fehlendes User-Agent-Header-Feld als Bot behandelt und auch gängige Bot-Kennungen wie 'curl', 'bot', 'crawler' und 'spider' erkennt, wird der Zähler für solche Clients niemals inkrementiert, sodass das Rate-Limit nie ausgelöst wird. Ein nicht authentifizierter Angreifer kann daher unbegrenzt Anmeldeversuche durchführen (z. B. durch Weglassen des User-Agent-Headers oder unter Verwendung des Standard-User-Agents von curl), was unbeschränkte Password-Guessing-Angriffe ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.