CVE-2026-81033

ŚrednieCVSS 5.3

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Automatisch ujawnia, czy adres e-mail jest zarejestrowany, poprzez odpowiedź na żądanie zapomnianego hasła. Trasa jest dostępna bez uwierzytelnienia i bez ograniczeń szybkości, co pozwala na enumerację kont.

Ocena ryzyka

Atakujący może ustalić, które adresy e-mail są zarejestrowane w systemie, co może być wykorzystane do ataków phishingowych lub socjotechnicznych.

Rekomendacja

Zmień zachowanie odpowiedzi na żądanie resetowania hasła, aby nie ujawniać statusu konta, oraz dodaj ograniczenia szybkości.

Inne podatności w Automatisch

CVE-2026-72566Wysokie
Podatność typu server-side request forgery (SSRF) w automatisch do commita 41f3c56 pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami i uprawnieniem 'manage Flow' na zmuszenie serwera do pobierania dowolnych adresów URL i odczytania pełnej treści odpowiedzi za pomocą akcji Custom Request w aplikacji HTTP Request.

Oryginalny opis (angielski, źródło NVD)

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account raises an error that the global handler renders as a not-found status, while a registered address proceeds to send the reset message and returns no-content. The route is mounted without authentication. Submitting candidate addresses and comparing the two status codes therefore establishes which addresses hold accounts, with no credential and no rate limiting in the path.