CVE-2026-73059

Nome do Software Vulnerável e Versões Afetadas stoatchat versões anteriores a 0.15.0

Description Existe uma falha de bypass de permissão no endpoint 'message fetch'. O sistema verifica apenas a permissão ViewChannel em vez de exigir a permissão ReadMessageHistory. Isso permite que usuários com acesso ViewChannel, mas com ReadMessageHistory negado, recuperem o conteúdo de mensagens individuais por ID, ignorando as restrições de histórico aplicadas às rotas de leitura em massa.

Recommendations Atualize para a versão 0.15.0 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'message fetch' para usuários sem permissões de ReadMessageHistory.