lorenzobruno7/cve-2026-26744फॉर्मलएमएस में /lostpwd एंडपॉइंट पर प्रतिक्रिया अंतर के माध्यम से उपयोगकर्ता गणना (user enumeration) प्रदर्शित करता है, जिससे लक्षित हमलों के लिए बिना प्रमाणीकरण के उपयोगकर्ता नाम की खोज संभव होती है।
FormaLMS (4.1.18 और उससे नीचे) में /lostpwd एंडपॉइंट के माध्यम से सुलभ पासवर्ड पुनर्प्राप्ति कार्यक्षमता में एक उपयोगकर्ता गणना भेद्यता मौजूद है। एप्लिकेशन मान्य और अमान्य उपयोगकर्ता नामों के लिए अलग-अलग त्रुटि संदेश लौटाता है (उदाहरण के लिए, गैर-मौजूद उपयोगकर्ताओं के लिए "The username you've inserted doesn't exist. Please check and retry."), जिससे एक अनप्रमाणित हमलावर अवलोकनीय प्रतिक्रिया अंतर (CWE-204) के माध्यम से यह निर्धारित कर सकता है कि सिस्टम में कौन से उपयोगकर्ता नाम पंजीकृत हैं।
इस जानकारी का उपयोग लक्षित ब्रूट-फोर्स या क्रेडेंशियल स्टफिंग हमले करने के लिए किया जा सकता है।
लोरेंज़ो ब्रूनो द्वारा खोजा गया, जनवरी 2026।
