CVE-2026-86729

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores ao commit e01e41ecc

Descrição O software expõe um caminho de login não documentado através da função get api preauthorize() em plugin/API/API.php. Ao contrário do processo de login padrão, este caminho não implementa limitação de taxa via função checkRateLimit(), permitindo tentativas ilimitadas de adivinhação de senha remotamente contra qualquer conta, incluindo administradores. Além disso, o endpoint funciona como um oráculo de credenciais; embora retorne uma mensagem genérica de "Invalid credentials" para todas as tentativas, o campo users id no corpo da resposta revela o status da autenticação (users id:1 para sucesso e users id:0 para falha). Uma tentativa bem-sucedida também estabelece um cookie de sessão que pode ser usado para requisições de API autenticadas, permitindo a invasão de contas via força bruta não autenticada.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.