黑客、渗透测试和网络安全工具，武装您的安全武器库！
演示了通过 /lostpwd 端点上的响应差异在 FormaLMS 中进行用户枚举，从而允许未经身份验证的用户名发现，以用于针对性攻击。
发现我们社区最常用的工具。
探索所有工具
浏览我们的工具集合
FormaLMS（4.1.18及以下版本）的密码恢复功能中存在用户枚举漏洞，该功能可通过 /lostpwd 端点访问。应用程序对有效和无效用户名返回不同的错误消息（例如，对不存在的用户返回“您输入的用户名不存在。请检查后重试。”），这使得未经身份验证的攻击者能够通过可观察的响应差异（CWE-204）判断系统中哪些用户名已注册。
/lostpwd
此信息可被利用来实施有针对性的暴力破解或撞库攻击。
由 Lorenzo Bruno 于2026年1月发现。
