CVE-2026-100676

stoatchat'in (stoatchat/stoatchat) medya proxy/yerleştirme servisi olan January, 0.15.5 versiyonundan önceki sürümlerde, getirilen bir kaynak image/svg+xml olarak sunulduğunda SVG <image href> değerlerini yerel dosya sistemi yolları olarak hatalı şekilde çözümlemektedir. Servisin saldırgan tarafından barındırılan bir SVG'yi proxy yapmasını sağlayan (örneğin /proxy uç noktası aracılığıyla) kimlik doğrulaması yapmamış uzaktan bir saldırgan, gözlemlenebilir yanıt süresi farkları üzerinden yerel dosyaların mevcut olup olmadığını belirleyebilir ve desteklenen yerel görüntü dosyalarının yeniden kodlanmasının ardından ifşa olmasına neden olabilir. Referans verilen her dosyanın okuma sayısı veya toplam hacmi üzerinde etkili bir sınır olmaksızın tamamen okunması nedeniyle, tek bir istek sınırsız miktarda yerel dosya sistemi G/Ç ve bellek baskısı oluşturabilir (yayımlanan kavram kanıtı yaklaşık 4,34 GB okuma gerçekleştirmektedir) ve bu durum hizmet reddine yol açabilir. Sorun 0.15.5 sürümünde düzeltilmiştir.