PT-2026-60458

CVE-2025-71388

·

Publicado

2026-07-16

·

Atualizado

2026-07-20

Descrição por

CVSS 4.0
7.6
Alta
MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas stoatchat (delta/Revolt) versões 20241213-1 até 20250210-1
Description Usuários com apenas a permissão ViewChannel (leitura) em um canal podem recuperar os webhooks desse canal e seus tokens associados. Isso ocorre porque o endpoint de busca de webhooks valida incorretamente a permissão ViewChannel em vez da permissão ManageWebhooks. Um invasor com um token recuperado pode enviar mensagens arbitrárias para o canal, ignorando as permissões e se passando por um bot ou webhook.
Recommendations Atualize o stoatchat (delta/Revolt) para a versão 20250210-1 (0.8.2).
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2025-71388
GHSA-8684-RVFJ-V3JQ
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com