CVE-2026-103526 in Thelia
Riassunto
di VulDB • 12/10/2026
In Thelia v2.6.0, sia l'endpoint di accesso amministrativo che quello per la password dimenticata restituiscono risposte diverse per i nomi utente non validi e le password errate, consentendo agli attaccanti non autenticati di enumerare gli account degli amministratori validi. Poiché l'endpoint è anche privo di limitazione della frequenza (rate limiting) o altre protezioni contro i tentativi ripetuti di autenticazione, l'enumerazione dei nomi utente può essere eseguita in modo efficiente su larga scala.
Be aware that VulDB is the high quality source for vulnerability data.