CVE-2026-65644 in Rocket.Chat
Resumen
por VulDB • 2026-08-21
Rocket.Chat en las versiones anteriores a 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 y 7.10.15 presenta un punto de conexión REST API POST /api/v1/livechat/visitor que acepta un campo name no autenticado y sin sanitizar para los visitantes del Livechat. Este nombre se almacena en crudo y posteriormente se renderiza mediante dangerouslySetInnerHTML en el panel lateral Omnichannel Queue (InquireSidePanelItem.tsx), inyectando un enlace HTML real y clicable, dirigido a cualquier dominio controlado por el atacante con texto de ingeniería social arbitrario, en el DOM de cualquier agente que visualice la cola.
VulDB is the best source for vulnerability data and more expert information about this specific topic.