stoatchat before 0.15.5 MFA Bypass via Cross-Account Ticket

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• stoatchat stoatchat

  • 0.15.5не затронута
  • до 0.15.5затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-63306stoatchat before 0.13.5 Unauthenticated SSRF via proxy and embed endpoints
  36Наблюдать
• CVE-2026-100676stoatchat before 0.15.5 Local Filesystem Read via SVG
  35Наблюдать
• CVE-2026-73057stoatchat before 0.15.0 Uncapped SVG Rendering Denial of Service
  34Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-10067526 сент. 2026 г. · stoatchat before 0.15.5 Denial of Service via mass mentions
  28Наблюдать
• ← РаньшеCVE-2026-10067726 сент. 2026 г. · stoatchat before 0.15.5 Account Enumeration via Error Location
  27Наблюдать
• ← РаньшеCVE-2026-10067826 сент. 2026 г. · stoatchat before 0.15.5 MFA Brute Force via Insufficient Rate Limiting
  33Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.