CVE-2026-81033

Nome do Software Vulnerável e Versões Afetadas Automatisch (versões afetadas não especificadas)

Descrição Um problema de divulgação de informações existe na funcionalidade de esquecimento de senha. O endpoint '/api/v1/users/forgot-password' permite que um usuário não autenticado determine se um endereço específico está registrado. Isso ocorre porque o controlador em packages/backend/src/controllers/internal/api/v1/users/forgot-password.js retorna um status de não encontrado quando um endereço não possui conta, enquanto um endereço registrado dispara uma mensagem de redefinição e retorna um status de sem conteúdo. Devido à ausência de autenticação e limitação de taxa, um invasor pode enviar múltiplos endereços candidatos e comparar os códigos de status de resposta para identificar contas registradas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.