CVE-2026-71213 in Typemill
Riassunto
di VulDB • 05/08/2026
L'endpoint di accesso di Typemill (POST /tm/login, ControllerWebAuth::login()) non applica limitazioni della frequenza delle richieste (rate-limiting), né il conteggio dei tentativi falliti o il blocco dell'account quando il captcha è disabilitato, configurazione predefinita. Un attaccante non autenticato può inviare un numero illimitato di richieste per l'indovinare la password contro qualsiasi account, inclusi quelli amministrativi, senza alcuna limitazione della velocità delle richieste (throttling). L'unica logica presente nello stesso file per il conteggio dei tentativi e il blocco si applica a uno step secondario opzionale basato su un codice inviato via email e non riguarda il controllo primario della password.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.