What is CVE-2026-73059?
CVE-2026-73059 is a permission bypass vulnerability in the `message_fetch` route of StoatChat versions before 0.15.0, where it only checks `ViewChannel` permission instead of requiring `ReadMessageHistory`. This allows attackers with `ViewChannel` access but denied `ReadMessageHistory` to retrieve message content by ID, leading to information disclosure.
Azərbaycanca: CVE-2026-73059, 0.15.0-dən əvvəlki StoatChat versiyalarında `message_fetch` route-da icazə bypass zəifliyidir. Standart `ViewChannel` icazəsindən istifadə edərək `ReadMessageHistory` icazəsi olmadan fərdi mesaj məzmununu ID ilə əldə etməyə imkan verir. Bu, istifadəçilərin yalnız kanalı görmə icazəsi olsa belə, mesaj məzmununun sızmasına gətirib çıxarır.
Related CVEs
link basis: same weakness class CWE-863
FAQ2
Which versions of StoatChat are affected by CVE-2026-73059?
CVE-2026-73059 affects StoatChat versions before 0.15.0.
What permission allows an attacker to read message content via CVE-2026-73059?
An attacker with only `ViewChannel` permission can retrieve message content by ID via the `message_fetch` route, bypassing the `ReadMessageHistory` requirement.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.