CVE-2026-92915

WWBN AVideo, e01e41ecc commit'ine kadar olan sürümlerinde (yamalanmış sürüm mevcut değil), objects/userVerifyEmail.php dosyasında hatalı bir erişim kontrolü açığı içermektedir. Betik, giriş gereksinimini devre dışı bırakmakta ($global['ignoreUserMustBeLoggedIn'] = 1), users_id değerini doğrudan sorgu dizesinden almakta ve herhangi bir oturum gereksinimi, CSRF/global token, çağırıcı ile hedef arasında ilişki kontrolü veya enforceRateLimit() çağrısı olmaksızın User::sendVerificationLink() fonksiyonunu çağırmaktadır. Tek amaçlanan sınırlama çağırıcının kendi oturumuna bağlıdır, bu nedenle çerezsiz istekler hiçbir zaman sınırlandırılmaz. Bu durum, kimliği doğrulanmamış uzaktaki bir saldırganın, herhangi bir hesap kimliğine rastgele sayıda doğrulama e-postası gönderilmesine neden olmasına ve üç farklı JSON yanıtı ("Verification Sent", "Already verified", "Unknown error") aracılığıyla hesapları ve bunların doğrulama durumlarını tespit etmesine olanak tanır. Ek olarak, createVerificationCode() fonksiyonu $user->setRecoverPass() işlemini tetikler ve kullanıcıyı kaydeder; böylece her anonim istek, hedeflenen hesaba canlı bir şifre kurtarma token'ı yazar; bu token, hesap sahibine e-posta ile gönderilen doğrulama bağlantısına base64 formatında gömülür ve yeni bir şifre belirlemek için kimlik bilgisi olarak objects/userRecoverPassSave.json.php tarafından kabul edilir.