CVE-2026-100676
WysokieCVSS 8.2Streszczenie
January, usługa proxy/embed mediów stoatchat, przed wersją 0.15.5 nieprawidłowo rozwiązuje wartości SVG <image href> jako lokalne ścieżki systemu plików, gdy pobrany zasób jest serwowany jako image/svg+xml. Nieuwierzytelniony zdalny atakujący, który spowoduje, że usługa pośredniczy w hostowanym przez atakującego SVG, może ustalić istnienie plików lokalnych na podstawie różnic w czasie odpowiedzi oraz ujawnić obsługiwane lokalne pliki obrazów po ponownym kodowaniu.
Ocena ryzyka
Ponieważ każdy plik jest odczytywany w całości bez limitu liczby i objętości odczytów, pojedyncze żądanie może wygenerować nieograniczoną ilość operacji I/O i zużycie pamięci, prowadząc do odmowy usługi. Może to sparaliżować usługę i wpłynąć na dostępność systemu.
Rekomendacja
Zaktualizuj stoatchat do wersji 0.15.5 lub nowszej. Rozważ ograniczenie dostępu do endpointu /proxy i monitorowanie nietypowego zużycia zasobów.
Inne podatności w stoatchat
Zobacz wszystkie- CVE-2026-100679Wysokie
stoatchat przed wersją 0.15.5 nie weryfikuje, czy bilety MFA należą do uwierzytelnionego użytkownika, co pozwala atakującym obejść MFA, używając własnego ważnego biletu z tokenem sesji innego użytkownika. Atakujący może uzyskać bilet ze swojego konta i użyć go z tokenem sesji ofiary, aby wyłączyć TOTP, wyświetlić kody odzyskiwania lub wykonać inne wrażliwe operacje bez podawania poświadczeń ofiary.
- CVE-2026-100678Średnie
Wersje stoatchat przed 0.15.5 nie egzekwują limitów prób na poziomie konta przy wyzwaniach MFA podczas logowania, ograniczając się jedynie do limitu opartego na adresie IP. Atakujący znający hasło może odgadywać kody TOTP, ponownie wykorzystując bilety wyzwania MFA i rozkładając próby na wiele adresów IP, aby obejść ograniczenia i uzyskać dostęp do konta.
- CVE-2026-100677Średnie
Wersje stoatchat przed 0.15.5 zawierają podatność umożliwiającą enumerację kont w punkcie końcowym logowania, ujawniającą lokalizacje plików źródłowych w odpowiedziach błędów. Nieuwierzytelniony atakujący może rozróżnić zarejestrowane i niezarejestrowane adresy e-mail, porównując pola lokalizacji błędów zwracane z żądań POST /api/auth/session/login.
- CVE-2026-100675Średnie
Wersje stoatchat przed 0.15.5 zawierają podatność typu denial of service w workerze potwierdzeń przetwarzającym wiadomości z masowymi wzmiankami. Uwierzytelniony użytkownik może wysłać pięć spreparowanych wiadomości z wzmiankami ról, aby zakończyć wszystkie workery potwierdzeń, wyłączając powiadomienia push i odznaki wzmianek w całym wdrożeniu do czasu restartu procesu API.
- CVE-2026-100674Średnie
Wersje stoatchat przed 0.15.5 nie ponownie walidują nazw użytkowników po sanityzacji Unicode, umożliwiając atakującym tworzenie nazw z zabronionymi znakami poprzez podanie liter Unicode, które przekształcają się w odrzucone znaki. Atakujący mogą obejść listy dozwolonych znaków i limity długości, tworząc nazwy łudząco podobne do zarezerwowanych, osadzając znaki specjalne i przekraczając limit 32 znaków.
- CVE-2026-74869Wysokie
stoatchat przed wersją 0.15.0 zawiera podatność na brak autoryzacji w obsłudze wiadomości Subscribe, która pozwala uwierzytelnionym atakującym na enumerację członków i monitorowanie aktualizacji profili prywatnych serwerów bez członkostwa. Atakujący mogą subskrybować temat aktualizacji członków dowolnego serwera, wysyłając wiadomość Subscribe z dowolnym ID serwera, otrzymując na żywo zdarzenia UserUpdate, w tym nazwy wyświetlane, awatary i zmiany statusu członków, do których nie powinni mieć dostępu.
- CVE-2026-73059Średnie
stoatchat przed wersją 0.15.0 zawiera podatność polegającą na obejściu uprawnień w trasie message_fetch, która sprawdza tylko uprawnienie ViewChannel zamiast wymaganego ReadMessageHistory. Atakujący z dostępem ViewChannel, ale bez ReadMessageHistory, mogą pobierać pojedyncze wiadomości po ID, omijając ograniczenia historii narzucone przez trasy zbiorczego odczytu.
- CVE-2026-73058Średnie
stoatchat przed wersją 0.15.0 nie blokuje adresu IPv6 unspecified (::) na liście blokad SSRF, co pozwala nieuwierzytelnionym atakującym ominąć zabezpieczenia przez endpointy /proxy i /embed. Atakujący mogą użyć składni literału IPv6, aby uzyskać dostęp do usług na interfejsie loopback i pobrać wrażliwe wewnętrzne treści.
- CVE-2026-73057Wysokie
stoatchat przed wersją 0.15.0 nie waliduje wymiarów viewBox w plikach SVG w punkcie końcowym proxy, co pozwala atakującym na spowodowanie odmowy usługi przez wyczerpanie pamięci. Atakujący mogą hostować złośliwe pliki SVG z bardzo dużymi wartościami szerokości i wysokości oraz wywoływać równoczesne żądania, aby wyczerpać dostępną pamięć w replikach proxy.
- CVE-2026-63088Wysokie
Podatność SSRF w stoatchat przed wersją 0.14.0 pozwala nieuwierzytelnionym atakującym na ominięcie blokady adresów IP opartej na DNS. Funkcja url_is_blacklisted sprawdza tylko pierwszy rozpoznany adres, podczas gdy klient HTTP używa wszystkich adresów z pamięci podręcznej.
Oryginalny opis (angielski, źródło NVD)
January, the media proxy/embed service of stoatchat (stoatchat/stoatchat), before version 0.15.5 improperly resolves SVG <image href> values as local filesystem paths when a fetched resource is served as image/svg+xml. An unauthenticated remote attacker who causes the service to proxy an attacker-hosted SVG (e.g. via the /proxy endpoint) can determine whether local files exist through observable response-time differences, and can cause supported local image files to be disclosed after re-encoding. Because each referenced file is read in full with no effective limit on the number or total volume of reads, a single request can also generate an unbounded amount of local filesystem I/O and memory pressure (the published proof of concept drives about 4.34 GB of reads), leading to denial of service. The issue is fixed in 0.15.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS