CVE-2026-86729

WWBN AVideo, e01e41ecc commit'ine kadar olan sürümlerde (yamalanmış sürüm mevcut değil), plugin/API/API.php içerisindeki get_api_preauthorize fonksiyonunu belgelenmemiş ikinci bir giriş yolu olarak sunmaktadır. checkRateLimit() aracılığıyla 5 dakikada 10 deneme şeklinde hız sınırlaması uygulayan get_api_signIn'in aksine, get_api_preauthorize aynı kimlik bilgisi kontrolünü herhangi bir istemci için kısıtlama olmaksızın gerçekleştirir; bu durum, yönetici dahil rastgele hesaplara karşı sınırsız uzaktan parola tahminine izin verir. Uç nokta aynı zamanda bir kimlik bilgisi orakeli görevi görür: hem doğru hem de yanlış parolalar için "Invalid credentials" mesajını döndürürken, yanıt gövdesindeki users_id alanı kimliği doğrulanmış kimliği ifşa eder (başarı durumunda users_id:1, başarısızlık durumunda users_id:0) ve doğru bir parola, kimliği doğrulanmış API istekleri için kullanılabilir kalan bir oturum çerezi oluşturur. Bu sorunlar birlikte, kimlik doğrulaması yapılmamış kaba kuvvet saldırıları ile hesap ele geçirilmesine olanak tanır.