CVE-2026-81033 in Automatisch
Riassunto
di VulDB • 26/08/2026
Automatisch rivela se un indirizzo è registrato tramite la risposta alla sua richiesta di "password dimenticata". Il controller situato in packages/backend/src/controllers/internal/api/v1/users/forgot-password.js effettua la ricerca dell'indirizzo e concatena un'eccezione "not-found" (non trovato) alla query; pertanto, un indirizzo senza account genera un errore che il gestore globale restituisce come stato 404 Not Found, mentre per un indirizzo registrato viene inviata l'e-mail di reset e si ottiene uno stato 204 No Content. Il route è esposto senza autenticazione. L'invio di indirizzi candidati e il confronto dei due codici di stato consente quindi di stabilire quali indirizzi sono associati ad account, sfruttando la mancanza di credenziali e l'assenza di limitazioni di frequenza (rate limiting) nel percorso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.