CVE-2026-100675: DoS-уязвимость в stoatchat до 0.15.5 через массовые упоминания

В системе отслеживания уязвимостей CVE Project опубликована запись CVE-2026-100675, описывающая серьёзную проблему в stoatchat — платформе для организации чатов и сообществ. Уязвимость затрагивает версии ниже 0.15.5 и относится к классу отказа в обслуживании (Denial of Service).

Подробности

Проблема кроется в воркере подтверждений (acknowledgement worker), который обрабатывает сообщения с массовыми упоминаниями. Согласно описанию, аутентифицированные пользователи могут отправить всего пять специально сформированных сообщений с упоминанием ролей, после чего все воркеры обработки подтверждений будут завершены.

Последствия носят масштабный характер: push-уведомления и бейджи упоминаний перестают работать во всём развёртывании stoatchat. Функциональность восстанавливается только после перезапуска процесса API. Поскольку для эксплуатации требуется лишь учётная запись обычного пользователя, а результат затрагивает всех участников инсталляции, уязвимость представляет существенную угрозу для доступности сервиса.

Уязвимости присвоен рейтинг CVSS 7.1, что соответствует высокому уровню критичности. Затронутый продукт — stoatchat. Информация о типе уязвимости в записи CVE ограничена описанием сценария эксплуатации, детали первопричины в исходном описании не раскрываются.

Что делать

Основная рекомендация — как можно скорее обновить stoatchat до версии 0.15.5 или более поздней, в которой проблема устранена. До момента обновления администраторам стоит рассмотреть следующие меры:

• ограничить возможность отправки сообщений с упоминаниями ролей для недоверенных или новых пользователей;
• усилить мониторинг процессов API и воркеров, чтобы оперативно выявлять аварийные завершения;
• подготовить процедуру автоматического перезапуска API-процесса для снижения времени простоя при срабатывании уязвимости;
• проверить журналы на предмет аномальной активности с массовыми упоминаниями ролей.

Важно учитывать, что полностью устранить риск можно только установкой исправленной версии — перечисленные митигации носят временный характер.

Уязвимость CVE-2026-100675 наглядно демонстрирует, как незначительное на первый взгляд действие аутентифицированного пользователя способно нарушить работу целого сервиса. Администраторам stoatchat следует отнестись к обновлению до 0.15.5 как к приоритетной задаче и не откладывать его до планового обслуживания.

Источник: CVE Project (cvelistV5)