CVE-2026-33688
CVE-2026-33688 · AVideo has Pre-Captcha User Enumeration and Account Status Disclosure in Password Recovery Endpoint
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the password recovery endpoint at `objects/userRecoverPass.php` performs user existence and account status checks before validating the captcha. This allows an unauthenticated attacker to enumerate valid usernames and determine whether accounts are active, inactive, or banned — at scale and without solving any captcha — by observing three distinct JSON error responses. Commit e42f54123b460fd1b2ee01f2ce3d4a386e88d157 contains a patch.
CVSS 5.3 · Mittel · EPSS 0,3%
- Veröffentlicht
- Aktualisiert
Technologie-Stack: php
Betroffene Produkte und Versionen
avideo
- Softwareversionen
- <= 26.0: Betroffen
Keine Korrektur veröffentlicht
wwbn/avideo Packagist
- Softwareversionen
- 10.4
- 10.8
- 11
- 11.1
- 11.1.1
- 11.5
- 11.6
- 12.4
- 14.3
- 14.3.1
- 14.4
- 18.0
- 21.0
- 22.0
- 24.0
- 25.0
- 26.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≤ 26.0
Keine Korrektur veröffentlicht