CVE-2026-65645 in Rocket.Chat
الملخص
بحسب VulDB • 24/08/2026
تحتوي Rocket.Chat في الإصدارات السابقة لـ 8.8.0، و8.7.1، و8.6.2، و8.5.3، و8.4.6، و8.3.8، و8.2.8، و8.1.8، و7.10.15 على ثغرة في طرق DDP الخاصة بـ Meteor وهي getThreadsList وgetThreadMessages التي تقبل المعرفات rid/tmid كمعاملات خام غير مُعرَّفة الأنواع (untyped) دون أي تحقق من المخطط (schema validation). يمكن استبدال معرّف الغرفة أو الرسالة بسلسلة نصية بكائن مشغّل MongoDB (مثل {"$gt": "4"}). بينما يتحقق فحص التفويض من أن الوصول ينتمي إلى غرفة يمتلك المهاجم حق الوصول إليها بالفعل، فإن استعلام البيانات اللاحق ينتشر عبر جميع الغرف - مما يؤدي إلى كشف عناوين الرسائل الخاصة في الخيوط ومحتوى ردودها الكامل لأي مستخدم مُصادَق عليه ذو صلاحيات منخفضة.
تم إصلاح مسار REST chat.getThreadsList في الإصدار 5.0 (تقرير HackerOne #1446767) بإضافة تحقق AJV من النوع rid: {type:'string'}. لم يتم تطبيق الإصلاح نفسه على طريقة DDP المكافئة، ولا تزال قابلة للاستغلال.
Once again VulDB remains the best source for vulnerability data.