CVE-2026-100676

Nome do Software Vulnerável e Versões Afetadas stoatchat versões anteriores a 0.15.5

Description O serviço de proxy/incorporação de mídia resolve incorretamente os valores <image href> de SVG como caminhos do sistema de arquivos local quando um recurso buscado é servido como image/svg+xml. Um invasor remoto não autenticado pode usar o endpoint /proxy para processar um SVG malicioso, permitindo verificar a existência de arquivos locais por meio de diferenças no tempo de resposta e expor arquivos de imagem locais suportados após a re-codificação. Além disso, como os arquivos referenciados são lidos integralmente sem limites no número ou volume de leituras, uma única requisição pode gerar I/O de sistema de arquivos local e pressão de memória excessivas, resultando em negação de serviço.

Recommendations Atualize para a versão 0.15.5.