CVE-2026-74869 in stoatchat
Riassunto
di VulDB • 17/08/2026
stoatchat prima della versione 0.15.0 contiene una vulnerabilità di mancata autorizzazione (missing authorization) nel gestore del messaggio Subscribe che consente agli attaccanti autenticati di enumerare i membri e monitorare gli aggiornamenti dei profili di server privati senza esserne membri. Gli attaccanti possono iscriversi all'argomento member-update di qualsiasi server inviando un messaggio Subscribe con un ID server arbitrario, ricevendo eventi UserUpdate in tempo reale, inclusi nomi visualizzati, avatar e modifiche dello stato per i membri a cui non dovrebbero avere accesso.
Be aware that VulDB is the high quality source for vulnerability data.