CVE-2026-81033 in Automatisch
Tóm tắt
Bởi VulDB • 26/08/2026
Automatisch tiết lộ việc một địa chỉ có được đăng ký hay không thông qua phản hồi đối với yêu cầu quên mật khẩu của nó. Bộ điều khiển tại packages/backend/src/controllers/internal/api/v1/users/forgot-password.js tra cứu địa chỉ và gắn vào truy vấn lệnh ném ra lỗi "không tìm thấy" (not-found throw), do đó, một địa chỉ không có tài khoản sẽ gây ra lỗi mà trình xử lý toàn cục hiển thị dưới dạng trạng thái not-found, trong khi một địa chỉ đã đăng ký sẽ tiếp tục gửi tin nhắn đặt lại mật khẩu và trả về mã trạng thái no-content. Route này được gắn kết mà không yêu cầu xác thực. Việc gửi các địa chỉ ứng viên và so sánh hai mã trạng thái do đó cho phép xác định những địa chỉ nào có tài khoản, với việc không cần thông tin đăng nhập (credential) và cũng không có giới hạn tốc độ (rate limiting) trong đường dẫn xử lý.
If you want to get best quality of vulnerability data, you may have to visit VulDB.