CVE-2026-92915

WWBN AVideo e01e41ecc commit-i vasitəsilə (yamaqlanmış versiya mövcud deyil) objects/userVerifyEmail.php faylında giriş nəzarətinin pozulması boşluğu ilə təmin olunub. Skript daxil olma tələbini deaktiv edir ($global['ignoreUserMustBeLoggedIn'] = 1), users_id parametrini birbaşa sorğu sətrindən götürür və sessiya tələbi, CSRF/qlobal token, çağırıcı ilə hədəf arasında əlaqə yoxlaması və enforceRateLimit() çağırışı olmadan User::sendVerificationLink() funksiyasını çağırır. Yeganə nəzərdə tutulmuş məhdudiyyət çağırıcının öz sessiyasına bağlıdır, buna görə də kuki-siz sorğular heç vaxt məhdudlaşdırılmır. Beləliklə, autentifikasiya olunmamış uzaq hücumçu istənilən hesab ID-sinə istənilən sayda təsdiq e-poçtlarının göndərilməsinə səbəb ola bilər, həmçinin üç fərqli JSON cavabı ("Verification Sent", "Already verified", "Unknown error") vasitəsilə hesabları və onların təsdiq statusunu müəyyən edə bilər. Əlavə olaraq, createVerificationCode() funksiyası $user->setRecoverPass() metodunu çağırır və istifadəçini yadda saxlayır, beləliklə, hər bir anonim sorğu hədəf hesaba aktiv şifrə bərpası tokeni yazır; həmin token hesab sahibinə göndərilən təsdiq linkində base64 formatında yerləşdirilir və yeni şifrə təyin etmək üçün etibarlılıq vasitəsi kimi objects/userRecoverPassSave.json.php tərəfindən qəbul edilir.