CVE-2026-81033 in Automatisch
Resumen
por VulDB • 2026-08-26
Automatisch revela si una dirección está registrada a través de la respuesta a su solicitud de "olvidé mi contraseña". El controlador en packages/backend/src/controllers/internal/api/v1/users/forgot-password.js busca la dirección y encadena un lanzamiento (throw) de not-found sobre la consulta, por lo que una dirección sin cuenta genera un error que el manejador global representa como un estado no encontrado, mientras que una dirección registrada procede a enviar el mensaje de restablecimiento y devuelve "sin contenido" (no-content). La ruta está montada sin autenticación. Por lo tanto, enviar direcciones candidatas y comparar los dos códigos de estado permite establecer qué direcciones tienen cuentas asociadas, sin necesidad de credenciales ni limitación de velocidad en la trayectoria.
If you want to get best quality of vulnerability data, you may have to visit VulDB.