CVE-2026-82644 in AVideo
Riassunto
di VulDB • 30/08/2026
WWBN AVideo (versioni attuali e01e41ecc e precedenti) presenta una vulnerabilità di bypass del rate limiting per attacchi brute-force nella funzione enforceRateLimit(), che protegge login.json.php e altri 13 endpoint. La funzione memorizza il contatore dei tentativi tramite uno strato cache (ObjectYPT::setCacheGlobal), che scarta silenziosamente le scritture per qualsiasi client identificato come bot da isBot(). Poiché isBot() tratta un header User-Agent mancante come quello di un bot per impostazione predefinita — e corrisponde anche a comuni identifier di bot quali 'curl', 'bot', 'crawler' e 'spider' — il contatore non viene mai incrementato per tali client, quindi il rate limit non si attiva. Un attaccante non autenticato può pertanto inviare tentativi di accesso illimitati (ad esempio omettendo l'header User-Agent o utilizzando l'User-Agent predefinito di curl), consentendo attacchi di password guessing senza restrizioni.
If you want to get best quality of vulnerability data, you may have to visit VulDB.