FICHE CVE

CVE-2026-100674

Publiée le 2026-09-26 · Dernière modification le 2026-09-26

🇫🇷 EN BREF

Les serveurs StoatChat antérieurs à la version 0.15.5 sont affectés par une faille dans la manière dont les noms d'utilisateur sont assainis. Un utilisateur authentifié peut contourner les restrictions de caractères et les limites de longueur pour créer des noms d'utilisateur trompeurs ou intégrer des caractères interdits. Cette opération est relativement facile à exécuter via le réseau, bien qu'elle nécessite un compte enregistré pour être réalisée.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-180

Publiée2026-09-26

Dernière modification2026-09-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

stoatchat before 0.15.5 fails to revalidate usernames after Unicode sanitization, allowing attackers to create usernames with forbidden characters by submitting Unicode letters that transform into rejected characters. Attackers can bypass character allowlists and length limits to create reserved-name lookalikes, embed special characters, and exceed the 32-character storage limit.