CVE-2026-81033 in Automatisch
摘要
由 VulDB • 2026-08-26
Automatisch rivela se un indirizzo è registrato tramite la risposta alla sua richiesta di "password dimenticata". Il controller situato in packages/backend/src/controllers/internal/api/v1/users/forgot-password.js effettua la ricerca dell'indirizzo e concatena un'eccezione `not-found` (non trovato) alla query; pertanto, un indirizzo senza account associato genera un errore che il gestore globale restituisce come stato "404 Not Found", mentre per un indirizzo registrato viene inviata l'e-mail di reset e si ottiene uno stato "204 No Content". Il route è configurato senza autenticazione. L'invio di indirizzi candidati e il confronto dei due codici di stato consente quindi di stabilire quali indirizzi sono associati ad account, senza richiedere credenziali né applicare limitazioni di frequenza (rate limiting) nel percorso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.