WWBN AVideo не может проверить доверенные прокси-серверы перед принятием заголовков X-Real-IP и X-Forwarded-For, что позволяет злоумышленникам подделать адрес клиента, используемый EnforceRateLimit(). Злоумышленники могут менять значение заголовка для каждого запроса, чтобы обойти ограничение скорости входа в систему и выполнять неограниченные атаки по подбору учетных данных.
Показать оригинальное описание (EN)
WWBN AVideo fails to validate trusted proxies before accepting X-Real-IP and X-Forwarded-For headers, allowing attackers to spoof the client address used by enforceRateLimit(). Attackers can rotate the header value per request to bypass login rate limiting and perform unlimited credential guessing attacks.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0