CVE-2026-86729

WWBN AVideo e01e41ecc commit-nə qədər (yamaqlanmış versiya mövcud deyil) plugin/API/API.php faylındakı get_api_preauthorize funksiyasını sənədləşdirilməmiş ikinci giriş yolu kimi təqdim edir. checkRateLimit() vasitəsilə hər 5 dəqiqədə 10 cəhd limiti tətbiq edən get_api_signIn-dən fərqli olaraq, get_api_preauthorize heç bir məhdudiyyət olmadan eyni etibarlılıq yoxlamasını həyata keçirir və bu, admin daxil olmaqla istənilən hesablar üçün uzaqdan limitsiz şifrə təxminini mümkün edir. Həmçinin, bu son nöqtə (endpoint) etibarlılıq oraklı kimi çıxış edir: həm düzgün, həm də yanlış şifrələr üçün "Invalid credentials" mesajını qaytarır, lakin cavab gövdəsindəki users_id sahəsi autentifikasiya olunmuş kimliyi açıqlayır (uğurlu olduqda users_id:1, uğursuz olduqda users_id:0) və düzgün şifrə autentifikasiya olunmuş API sorğuları üçün istifadə edilə bilən sessiya kukisini yaradır. Bu problemlər birlikdə autentifikasiyasız brute-force hücumu vasitəsilə hesabların ələ keçirilməsinə şərait yaradır.