Quentinra

**Nome do Software Vulnerável e Versões Afetadas** stoatchat versões anteriores a 0.15.5 **Description** Um problema de negação de serviço existe no worker de confirmação responsável por processar mensagens de menções em massa. Usuários autenticados podem enviar cinco mensagens de menção de função especialmente elaboradas para encerrar todos os workers de confirmação. Esta ação desativa as notificações push e os emblemas de menção em toda a implantação até que o processo da API seja reiniciado. **Recommendations** Atualize para a versão 0.15.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** stoatchat versões anteriores a 0.15.5 **Description** O serviço de proxy/incorporação de mídia resolve incorretamente os valores `<image href>` de SVG como caminhos do sistema de arquivos local quando um recurso buscado é servido como `image/svg+xml`. Um invasor remoto não autenticado pode usar o endpoint `/proxy` para processar um SVG malicioso, permitindo verificar a existência de arquivos locais por meio de diferenças no tempo de resposta e expor arquivos de imagem locais suportados após a re-codificação. Além disso, como os arquivos referenciados são lidos integralmente sem limites no número ou volume de leituras, uma única requisição pode gerar I/O de sistema de arquivos local e pressão de memória excessivas, resultando em negação de serviço. **Recommendations** Atualize para a versão 0.15.5.

**Nome do Software Vulnerável e Versões Afetadas** stoatchat versões anteriores a 0.15.5 **Descrição** Um problema de enumeração de contas existe no endpoint de login. Atacantes não autenticados podem identificar se um endereço de e-mail está registrado analisando os campos de localização de erro retornados nas respostas do endpoint 'POST /api/auth/session/login', que expõem inadvertidamente locais de arquivos fonte. **Recomendações** Atualize o stoatchat para a versão 0.15.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** stoatchat versões anteriores a 0.15.5 **Description** A aplicação falha ao impor limites de tentativas a nível de conta em desafios de login MFA, permitindo que atacantes que possuam a senha adivinhem códigos TOTP (Senha de Uso Único Baseada em Tempo) utilizando apenas a limitação de taxa baseada em IP. Atacantes podem reutilizar tickets de desafio MFA em múltiplas tentativas malsucedidas e distribuir as tentativas entre diferentes endereços IP para contornar a limitação de taxa e obter acesso à conta. **Recommendations** Atualize para a versão 0.15.5 ou posterior.