CVE-2026-75575 in Rocket.Chat
Zusammenfassung
von VulDB • 25.08.2026
Rocket.Chat espone il metodo Meteor `sendForgotPasswordEmail` senza un limite di frequenza DDP (DDP rate limit), consentendo così a un chiamante non autenticato di invocarlo con una frequenza illimitata. Il metodo è raggiungibile tramite DDP e attraverso l'endpoint HTTP POST `/api/v1/method.callAnon/sendForgotPasswordEmail`, ed attiva un messaggio di reset della password per qualsiasi indirizzo che corrisponda a un account. Non essendo registrate regole DDPRateLimiter specifiche, un chiamante può generare un volume illimitato di email di reset da parte del mittente mail nativo dell'istanza e può effettuare sondaggi su larga scala sugli indirizzi: il metodo restituisce `true` per un indirizzo senza account associato e in caso di invio riuscito, ma `false` quando l'indirizzo appartiene a un account che utilizza l'autenticazione tramite provider esterno e la configurazione `Accounts_AllowPasswordChangeForOAuthUsers` è disattivata; ciò consente alle chiamate ripetute di distinguere tale categoria di account. Nelle versioni successive viene registrata una regola che permette dieci chiamate al minuto per ogni indirizzo client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.