CVE-2026-82644

WWBN AVideo (cari e01e41ecc və daha əvvəlki versiyalar) login.json.php və digər 13 son nöqtəni (endpoint) qoruyan enforceRateLimit() funksiyasında brute-force sürət məhdudiyyətinin (rate limiting) yan keçilməsi boşluğuna malikdir. Funksiya cəhd sayğacını keş təbəqəsi (ObjectYPT::setCacheGlobal) vasitəsilə saxlayır və isBot() tərəfindən bot kimi müəyyən edilən hər hansı bir klient üçün yazma əməliyyatlarını səssiz şəkildə rədd edir. isBot() funksiyası çatışmayan User-Agent başlığını standart olaraq bot kimi qəbul etdiyi — həmçinin 'curl', 'bot', 'crawler' və 'spider' kimi geniş yayılmış bot identifikatorları ilə uyğunlaşdırdığı üçün belə klientlər üçün sayğac heç vaxt artmır və nəticədə sürət məhdudiyyəti işə düşmür. Buna görə də, autentifikasiya olunmamış hücumçu limitsiz giriş cəhdləri göndərə bilər (məsələn, User-Agent başlığını silməklə və ya curl-in standart User-Agent-indən istifadə etməklə), bu da məhdudiyyətsiz parol təxmini hücumlarına imkan yaradır.