در نسخه‌های پیش از 5.3.0 نرم‌افزار AniWorld Downloader، یک آسیب‌پذیری امنیتی در بخش مدیریت احرازهویت (Authentication) شناسایی شده است. این نقص در هندلر POST /login در رابط کاربری وب (WebUI) وجود دارد و به دلیل نبود محدودیت در تعداد تلاش‌های ورود (Throttling)، مهاجمان را قادر می‌سازد تا بدون هیچ محدودیتی اقدام به حدس زدن رمز عبور کنند.
جزئیات فنی و نحوه بهره‌برداری
عامل تهدید (Threat Actor) می‌تواند از طریق تحلیل زمان پاسخ‌دهی (Timing Attack) در متد verify_user، نام‌های کاربری معتبر را شناسایی و استخراج (Enumerate) کند. پس از شناسایی نام‌های کاربری، مهاجم می‌تواند با اجرای حملات Brute-Force روی نمونه‌های در معرض اینترنت (Exposed Instances) از این نرم‌افزار، رمزهای عبور را پیدا کرده و در نهایت حساب‌های کاربری را تصاحب (Account Takeover) نماید.
راهکار رفع آسیب‌پذیری
برای مقابله با این تهدید، توصیه می‌شود تمامی کاربران و مدیران سیستم‌های مورد استفاده، نرم‌افزار AniWorld Downloader را به نسخه 5.3.0 یا بالاتر به‌روزرسانی کنند تا محدودیت‌های لازم برای تلاش‌های احرازهویت اعمال شود.
