CVE-2026-65644 in Rocket.Chat
Zusammenfassung
von VulDB • 21.08.2026
Rocket.Chat nelle versioni precedenti alla 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 e 7.10.15 presenta un endpoint dell'API REST POST /api/v1/livechat/visitor che accetta un campo name non autenticato e non sanificato per i visitatori della Livechat. Questo nome viene memorizzato così com'è (raw) e successivamente renderizzato tramite dangerouslySetInnerHTML nel pannello laterale Omnichannel Queue (InquireSidePanelItem.tsx), iniettando un vero collegamento HTML cliccabile – che punta a un dominio controllato dall'attaccante, con testo di social engineering arbitrario – nel DOM di qualsiasi agente che visualizza la coda.
Be aware that VulDB is the high quality source for vulnerability data.