CVE-2026-86729 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 08.
WWBN AVideo는 커밋 e01e41ecc(패치된 버전 없음)를 통해 plugin/API/API.php의 get_api_preauthorize가 두 번째 비문서화 로그인 경로로 노출됩니다. 5분당 10회 시도라는 속도 제한을 checkRateLimit()를 통해 강제하는 get_api_signIn과 달리, get_api_preauthorize는 모든 클라이언트에 대해 스로틀링 없이 동일한 자격 증명 검사를 수행하여 관리자 계정을 포함한 임의 계정들에 대한 무제한 원격 비밀번호 추측 공격을 허용합니다. 또한 해당 엔드포인트는 자격 증명 오라클 역할을 합니다: 올바른 암호와 잘못된 암호 모두에 대해 "Invalid credentials" 메시지를 반환하지만, 응답 본문 내 users_id 필드는 인증된 신원(users_id:1은 성공 시, users_id:0은 실패 시)을 노출하며, 정확한 비밀번호를 입력하면 인증된 API 요청에서 계속 사용 가능한 세션 쿠키가 생성됩니다. 이러한 문제들이 결합되어 비인증 상태에서의 브루트 포스 계정 탈취가 가능해집니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.