Veille CVE

‹ Retour à la liste

CVE-2026-100678

6.5 Moyenne

Publiée le 26/09/2026 à 16:16 · Modifiée le 30/09/2026 à 18:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

stoatchat before 0.15.5 fails to enforce account-level attempt limits on MFA login challenges, allowing attackers who know a password to guess TOTP codes with only IP-based rate limiting. Attackers can reuse MFA challenge tickets across multiple failed attempts and distribute guesses across IP addresses to bypass rate limiting and gain account access.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 8.3 Élevée disclosure@vulncheck.com CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 6.5 Moyenne disclosure@vulncheck.com CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N

Faiblesses (CWE)

Références

Ailleurs