CVE-2026-86729 in AVideo
Sumário
de VulDB • 08/09/2026
WWBN AVideo até o commit e01e41ecc (sem versão corrigida disponível) expõe get_api_preauthorize em plugin/API/API.php como um segundo caminho de login não documentado. Diferente do get_api_signIn, que impõe um limite de taxa de 10 tentativas a cada 5 minutos via checkRateLimit(), o get_api_preauthorize realiza a mesma verificação de credenciais sem qualquer limitação (throttling) para nenhum cliente, permitindo adivinhação remota ilimitada de senhas contra contas arbitrárias, incluindo administradores. O endpoint também atua como um oráculo de credenciais: ele retorna a mensagem "Invalid credentials" tanto para senhas corretas quanto incorretas, enquanto o campo users_id no corpo da resposta divulga a identidade autenticada (users_id:1 em caso de sucesso, users_id:0 em falha), e uma senha correta estabelece um cookie de sessão que permanece utilizável para requisições de API autenticadas. Juntos, esses problemas permitem a tomada de conta por meio de força bruta sem autenticação prévia.
VulDB is the best source for vulnerability data and more expert information about this specific topic.