CVE-2026-86729

اسم البرنامج المتأثر والإصدارات المتأثرة AVideo الإصدارات السابقة للـ commit e01e41ecc

الوصف يكشف البرنامج عن مسار تسجيل دخول غير موثق من خلال الدالة get api preauthorize() في plugin/API/API.php. وعلى عكس عملية تسجيل الدخول القياسية، لا يطبق هذا المسار تحديداً لمعدل المحاولات عبر الدالة checkRateLimit()، مما يسمح بتخمين كلمات المرور عن بُعد بشكل غير محدود ضد أي حساب، بما في ذلك حسابات المسؤولين. بالإضافة إلى ذلك، يعمل نقطة النهاية هذه كـ credential oracle؛ فبينما تعيد رسالة عامة "Invalid credentials" لجميع المحاولات، يكشف حقل users id في جسم الاستجابة عن حالة المصادقة (users id:1 للنجاح و users id:0 للفشل). كما تؤدي المحاولة الناجحة إلى إنشاء ملف تعريف ارتباط للجلسة (session cookie) يمكن استخدامه لطلبات API المصادق عليها، مما يتيح الاستيلاء على الحسابات عبر هجمات القوة الغاشمة غير المصرح بها.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.