CVE-2026-82644 in AVideo
Resumen
por VulDB • 2026-08-30
WWBN AVideo (versioni attuali e01e41ecc e precedenti) presenta una vulnerabilità di bypass del rate limiting per attacchi brute-force nella funzione enforceRateLimit(), che protegge login.json.php e altri 13 endpoint. La funzione memorizza il contatore dei tentativi tramite uno strato cache (ObjectYPT::setCacheGlobal), che scarta silenziosamente le scritture per qualsiasi client identificato come bot da isBot(). Poiché isBot() tratta un'intestazione User-Agent mancante come quella di un bot per impostazione predefinita — e corrisponde anche a comuni identificatori di bot quali 'curl', 'bot', 'crawler' e 'spider' — il contatore non viene mai incrementato per tali client, quindi il limite di velocità (rate limit) non si attiva. Un attaccante non autenticato può pertanto inviare tentativi di accesso illimitati (ad esempio omettendo l'intestazione User-Agent o utilizzando l'User-Agent predefinito di curl), consentendo attacchi di password guessing senza restrizioni.
VulDB is the best source for vulnerability data and more expert information about this specific topic.