CVE-2026-55369

Nome do Software Vulnerável e Versões Afetadas Waline versões anteriores a 1.41.1

Description O endpoint de login 'POST /api/token' lê o campo email do corpo da requisição sem validar o tipo e o passa diretamente para uma consulta do MongoDB. Se o campo email for fornecido como um tipo não string, como um objeto JSON, a função parseWhere() no adaptador de armazenamento MongoDB descarta o campo, resultando em um filtro vazio que corresponde a todos os usuários. O sistema então valida a senha fornecida em relação ao primeiro usuário retornado, que geralmente é o administrador do site. Isso leva a um bypass de autenticação parcial onde o identificador de e-mail é removido para a conta do administrador, permitindo a enumeração de usuários e a amplificação de credential-stuffing, já que um invasor pode testar senhas contra a conta do administrador sem conhecer seu e-mail.

Recommendations Atualizar para a versão 1.41.1.