CVE-2026-63306

stoatchat przed wersją 0.15.0 zawiera podatność na brak autoryzacji w obsłudze wiadomości Subscribe, która pozwala uwierzytelnionym atakującym na enumerację członków i monitorowanie aktualizacji profili prywatnych serwerów bez członkostwa. Atakujący mogą subskrybować temat aktualizacji członków dowolnego serwera, wysyłając wiadomość Subscribe z dowolnym ID serwera, otrzymując na żywo zdarzenia UserUpdate, w tym nazwy wyświetlane, awatary i zmiany statusu członków, do których nie powinni mieć dostępu.

stoatchat przed wersją 0.15.0 zawiera podatność polegającą na obejściu uprawnień w trasie message_fetch, która sprawdza tylko uprawnienie ViewChannel zamiast wymaganego ReadMessageHistory. Atakujący z dostępem ViewChannel, ale bez ReadMessageHistory, mogą pobierać pojedyncze wiadomości po ID, omijając ograniczenia historii narzucone przez trasy zbiorczego odczytu.

stoatchat przed wersją 0.15.0 nie blokuje adresu IPv6 unspecified (::) na liście blokad SSRF, co pozwala nieuwierzytelnionym atakującym ominąć zabezpieczenia przez endpointy /proxy i /embed. Atakujący mogą użyć składni literału IPv6, aby uzyskać dostęp do usług na interfejsie loopback i pobrać wrażliwe wewnętrzne treści.

stoatchat przed wersją 0.15.0 nie waliduje wymiarów viewBox w plikach SVG w punkcie końcowym proxy, co pozwala atakującym na spowodowanie odmowy usługi przez wyczerpanie pamięci. Atakujący mogą hostować złośliwe pliki SVG z bardzo dużymi wartościami szerokości i wysokości oraz wywoływać równoczesne żądania, aby wyczerpać dostępną pamięć w replikach proxy.

Podatność SSRF w stoatchat przed wersją 0.14.0 pozwala nieuwierzytelnionym atakującym na ominięcie blokady adresów IP opartej na DNS. Funkcja url_is_blacklisted sprawdza tylko pierwszy rozpoznany adres, podczas gdy klient HTTP używa wszystkich adresów z pamięci podręcznej.

Podatność w stoatchat (delta/Revolt) w wersjach od 20241213-1 do 20250210-1 umożliwia użytkownikom z uprawnieniem ViewChannel (odczyt) na kanale pobranie webhooków tego kanału, w tym ich tokenów. Wynika to z błędnego sprawdzania uprawnienia ViewChannel zamiast ManageWebhooks w punkcie końcowym pobierania webhooków.

W aplikacji stoatchat (delta) przed wersją 20250210-1 (0.8.2) występuje błąd logiczny w trasie zapytań o wiadomości. Podczas pobierania wiadomości 'w pobliżu' innej wiadomości, zapytanie do bazy danych może otrzymać limit wiadomości równy zero, co baza danych interpretuje jako 'brak limitu'. Zdalny, nieuwierzytelniony atakujący może wysłać żądania pobrania wiadomości w pobliżu, aby pobrać całą historię kanału w jednym kosztownym żądaniu, a także może wysłać wiele takich żądań równolegle, co prowadzi do odmowy usługi poprzez wyczerpanie zasobów.

Podatność w Stoatchat przed wersją 0.7.8 pozwala na ominięcie ograniczeń tworzenia kont, takich jak tryb tylko na zaproszenie, weryfikacja e-mail, captcha i weryfikacja tarczy. Atakujący mogą tworzyć nieograniczoną liczbę kont z niezweryfikowanymi adresami e-mail, co zwiększa ryzyko ataku DoS i narusza integralność usługi.