CVE-2026-100678 in stoatchat
要約
〜によって VulDB • 2026年09月26日
stoatchat 0.15.5 より前のバージョンでは、MFAログインチャレンジに対するアカウントレベルの試行制限が適用されないため、パスワードを把握した攻撃者はIPベースのレートリミティングのみでTOTPコードを推測できます。攻撃者は複数の失敗した試行にわたってMFAチャレンジチケットを再利用し、 guesses を異なるIPアドレスに分散させることでレートリミティングを回避し、アカウントへのアクセスを取得することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.