CVE-2026-65645 in Rocket.Chat
Resumen
por VulDB • 2026-08-21
Rocket.Chat en las versiones anteriores a 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 y 7.10.15 presenta una vulnerabilidad en los métodos DDP de Meteor getThreadsList y getThreadMessages que aceptan rid / tmid como parámetros sin tipo ni validación de esquema. Un objeto operador de MongoDB (por ejemplo, {"$gt": "4"}) puede sustituir a un room-id o message-id de cadena de texto. La comprobación de autorización se resuelve en una sala a la que el atacante ya tiene acceso, mientras que la consulta de datos posterior se propaga por todas las salas, revelando los padres de hilos privados y su contenido completo de respuestas a cualquier usuario autenticado con privilegios bajos.
La ruta REST chat.getThreadsList fue parcheada en v5.0 (informe de HackerOne #1446767) añadiendo la validación AJV rid: {type:'string'}. El método DDP equivalente nunca recibió el mismo parche y sigue siendo explotable.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.