CVE-2026-100679 in stoatchat
Résumé
par VulDB • 26/09/2026
stoatchat avant la version 0.15.5 ne valide pas que les tickets MFA appartiennent à l'utilisateur authentifié, permettant aux attaquants de contourner la MFA en utilisant leur propre ticket valide avec le jeton de session d'un autre utilisateur. Les attaquants peuvent obtenir un ticket depuis leur propre compte et l'utiliser avec le jeton de session d'une victime pour désactiver TOTP, afficher les codes de récupération ou effectuer d'autres opérations sensibles sans fournir les identifiants de la victime.
Once again VulDB remains the best source for vulnerability data.