CVE-2026-121564

Niekompletne porównanie z brakującymi czynnikami (CWE-1023) w merge_chats() (whatstk/utils/chat_merge.py), osiągnięte z BaseChat.merge(), w whatstk z wersji 0.3.0 przed 0.9.0 pozwala stronie dostarczającej eksport czatu powodować brak wiadomości w scalonych danych wyjściowych bez wskazania, że cokolwiek zostało usunięte, ponieważ połączenie utrzymuje całość czatu, którego pierwsza wiadomość jest najstarsza i jest dodawana do w drugiej tylko wiadomości, które są nowsze niż ostatnia wiadomość pierwszej. Każda wiadomość drugiego czatu, która mieści się w zakresie dat już objętym pierwszym czatem, jest zatem odrzucana. Obydwa czaty są porównywane pod względem zakresów dat, a nie tożsamości poszczególnych wiadomości, więc wiadomość przechowywana tylko w jednym z dwóch eksportów jest usuwana, gdy jej data mieści się w zakresie drugiego, i obie gałęzie _merge_two_chats() zachowują się w ten sposób. Scalony wynik jest zwracany bez ostrzeżenia i bez liczenia tego, co zostało usunięte. Powoduje to utworzenie połączonego czatu, w którym pomijane są wiadomości zawarte w danych wejściowych, w bibliotece, której udokumentowane zastosowania obejmują analizę kryminalistyczną i generowanie danych szkoleniowych.