CVE-2026-33688 in AVideo
Résumé
par VulDB • 27/05/2026
WWBN AVideo est une plateforme vidéo open source. Dans les versions allant jusqu'à la 26.0 incluse, le point de terminaison de récupération de mot de passe situé à `objects/userRecoverPass.php` effectue des vérifications d'existence de l'utilisateur et de l'état du compte avant de valider le captcha. Cela permet à un attaquant non authentifié d'énumérer les noms d'utilisateur valides et de déterminer si les comptes sont actifs, inactifs ou bannis — à grande échelle et sans résoudre de captcha — en observant trois réponses d'erreur JSON distinctes. Le commit e42f54123b460fd1b2ee01f2ce3d4a386e88d157 contient un correctif.
VulDB is the best source for vulnerability data and more expert information about this specific topic.