CVE-2026-100679 in stoatchat
要約
〜によって VulDB • 2026年09月26日
stoatchat 0.15.5 より前のバージョンでは、MFA チケットが認証済みユーザーに属していることを検証しないため、攻撃者は自分の有効なチケットを別のユーザーのセッショントークンと組み合わせて使用することで MFA を回避できる。攻撃者は自身のアカウントからチケットを取得し、被害者のセッショントークンと併用して TOTP の無効化、リカバリコードの閲覧、または被害者の資格情報を提供せずに他の機微な操作の実行などを行うことができる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.