Podatności stoatchat

January, usługa proxy/embed mediów stoatchat, przed wersją 0.15.5 nieprawidłowo rozwiązuje wartości SVG <image href> jako lokalne ścieżki systemu plików, gdy pobrany zasób jest serwowany jako image/svg+xml. Nieuwierzytelniony zdalny atakujący, który spowoduje, że usługa pośredniczy w hostowanym przez atakującego SVG, może ustalić istnienie plików lokalnych na podstawie różnic w czasie odpowiedzi oraz ujawnić obsługiwane lokalne pliki obrazów po ponownym kodowaniu.

stoatchat przed wersją 0.15.5 nie weryfikuje, czy bilety MFA należą do uwierzytelnionego użytkownika, co pozwala atakującym obejść MFA, używając własnego ważnego biletu z tokenem sesji innego użytkownika. Atakujący może uzyskać bilet ze swojego konta i użyć go z tokenem sesji ofiary, aby wyłączyć TOTP, wyświetlić kody odzyskiwania lub wykonać inne wrażliwe operacje bez podawania poświadczeń ofiary.

Wersje stoatchat przed 0.15.5 nie egzekwują limitów prób na poziomie konta przy wyzwaniach MFA podczas logowania, ograniczając się jedynie do limitu opartego na adresie IP. Atakujący znający hasło może odgadywać kody TOTP, ponownie wykorzystując bilety wyzwania MFA i rozkładając próby na wiele adresów IP, aby obejść ograniczenia i uzyskać dostęp do konta.

Wersje stoatchat przed 0.15.5 zawierają podatność umożliwiającą enumerację kont w punkcie końcowym logowania, ujawniającą lokalizacje plików źródłowych w odpowiedziach błędów. Nieuwierzytelniony atakujący może rozróżnić zarejestrowane i niezarejestrowane adresy e-mail, porównując pola lokalizacji błędów zwracane z żądań POST /api/auth/session/login.

Wersje stoatchat przed 0.15.5 zawierają podatność typu denial of service w workerze potwierdzeń przetwarzającym wiadomości z masowymi wzmiankami. Uwierzytelniony użytkownik może wysłać pięć spreparowanych wiadomości z wzmiankami ról, aby zakończyć wszystkie workery potwierdzeń, wyłączając powiadomienia push i odznaki wzmianek w całym wdrożeniu do czasu restartu procesu API.

Wersje stoatchat przed 0.15.5 nie ponownie walidują nazw użytkowników po sanityzacji Unicode, umożliwiając atakującym tworzenie nazw z zabronionymi znakami poprzez podanie liter Unicode, które przekształcają się w odrzucone znaki. Atakujący mogą obejść listy dozwolonych znaków i limity długości, tworząc nazwy łudząco podobne do zarezerwowanych, osadzając znaki specjalne i przekraczając limit 32 znaków.

stoatchat przed wersją 0.15.0 zawiera podatność na brak autoryzacji w obsłudze wiadomości Subscribe, która pozwala uwierzytelnionym atakującym na enumerację członków i monitorowanie aktualizacji profili prywatnych serwerów bez członkostwa. Atakujący mogą subskrybować temat aktualizacji członków dowolnego serwera, wysyłając wiadomość Subscribe z dowolnym ID serwera, otrzymując na żywo zdarzenia UserUpdate, w tym nazwy wyświetlane, awatary i zmiany statusu członków, do których nie powinni mieć dostępu.

stoatchat przed wersją 0.15.0 zawiera podatność polegającą na obejściu uprawnień w trasie message_fetch, która sprawdza tylko uprawnienie ViewChannel zamiast wymaganego ReadMessageHistory. Atakujący z dostępem ViewChannel, ale bez ReadMessageHistory, mogą pobierać pojedyncze wiadomości po ID, omijając ograniczenia historii narzucone przez trasy zbiorczego odczytu.

stoatchat przed wersją 0.15.0 nie blokuje adresu IPv6 unspecified (::) na liście blokad SSRF, co pozwala nieuwierzytelnionym atakującym ominąć zabezpieczenia przez endpointy /proxy i /embed. Atakujący mogą użyć składni literału IPv6, aby uzyskać dostęp do usług na interfejsie loopback i pobrać wrażliwe wewnętrzne treści.

stoatchat przed wersją 0.15.0 nie waliduje wymiarów viewBox w plikach SVG w punkcie końcowym proxy, co pozwala atakującym na spowodowanie odmowy usługi przez wyczerpanie pamięci. Atakujący mogą hostować złośliwe pliki SVG z bardzo dużymi wartościami szerokości i wysokości oraz wywoływać równoczesne żądania, aby wyczerpać dostępną pamięć w replikach proxy.

Podatność SSRF w stoatchat przed wersją 0.14.0 pozwala nieuwierzytelnionym atakującym na ominięcie blokady adresów IP opartej na DNS. Funkcja url_is_blacklisted sprawdza tylko pierwszy rozpoznany adres, podczas gdy klient HTTP używa wszystkich adresów z pamięci podręcznej.

Stoatchat przed wersją 0.13.5 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w endpointach /proxy i /embed, które akceptują dowolne adresy URL bez filtrowania rozpoznawania DNS ani walidacji zakresów prywatnych adresów IP. Atakujący mogą skanować wewnętrzne usługi, identyfikować aplikacje i uzyskiwać dostęp do endpointów metadanych instancji, dostarczając złośliwe adresy URL lub wykorzystując łańcuchy przekierowań.

Podatność w stoatchat (delta/Revolt) w wersjach od 20241213-1 do 20250210-1 umożliwia użytkownikom z uprawnieniem ViewChannel (odczyt) na kanale pobranie webhooków tego kanału, w tym ich tokenów. Wynika to z błędnego sprawdzania uprawnienia ViewChannel zamiast ManageWebhooks w punkcie końcowym pobierania webhooków.

W aplikacji stoatchat (delta) przed wersją 20250210-1 (0.8.2) występuje błąd logiczny w trasie zapytań o wiadomości. Podczas pobierania wiadomości 'w pobliżu' innej wiadomości, zapytanie do bazy danych może otrzymać limit wiadomości równy zero, co baza danych interpretuje jako 'brak limitu'. Zdalny, nieuwierzytelniony atakujący może wysłać żądania pobrania wiadomości w pobliżu, aby pobrać całą historię kanału w jednym kosztownym żądaniu, a także może wysłać wiele takich żądań równolegle, co prowadzi do odmowy usługi poprzez wyczerpanie zasobów.

Podatność w Stoatchat przed wersją 0.7.8 pozwala na ominięcie ograniczeń tworzenia kont, takich jak tryb tylko na zaproszenie, weryfikacja e-mail, captcha i weryfikacja tarczy. Atakujący mogą tworzyć nieograniczoną liczbę kont z niezweryfikowanymi adresami e-mail, co zwiększa ryzyko ataku DoS i narusza integralność usługi.