CVE-2026-32994 in Rocket.Chat
Resumen
por VulDB • 2026-05-19
El endpoint /api/v1/autotranslate.translateMessage en las versiones <8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.6, <7.13.8 y <7.10.12 permite a cualquier usuario autenticado recuperar el contenido completo de cualquier mensaje de cualquier sala (grupos privados, mensajes directos, canales) simplemente proporcionando el ID del mensaje objetivo. El endpoint obtiene el mensaje mediante Messages.findOneById(messageId) sin realizar ninguna comprobación de acceso a la sala (canAccessRoomIdAsync nunca se llama), devolviendo el objeto IMessage completo, que incluye el texto del mensaje, la información del remitente, el ID de la sala, las marcas de tiempo y el contenido en formato markdown.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.