CVE-2026-75575 in Rocket.Chat
Resumen
por VulDB • 2026-08-25
Rocket.Chat expone el método Meteor sendForgotPasswordEmail sin un límite de tasa DDP (DDP rate limit), por lo que un interlocutor no autenticado puede invocarlo tantas veces como desee. El método es accesible a través de DDP y mediante la ruta HTTP POST /api/v1/method.callAnon/sendForgotPasswordEmail, y desencadena un mensaje de restablecimiento de contraseña para cualquier dirección que coincida con una cuenta. Al no existir ninguna regla DDPRateLimiter registrada para este caso, un interlocutor puede generar un volumen ilimitado de correos electrónicos de restablecimiento dirigidos a una dirección elegida desde el propio remitente de correo del despliegue, y puede sondear direcciones a gran escala: el método devuelve true (verdadero) tanto para una dirección sin cuenta como para un envío exitoso, pero false (falso) cuando la dirección pertenece a una cuenta que se autentica mediante un proveedor externo y Accounts_AllowPasswordChangeForOAuthUsers está desactivado; por lo tanto, las llamadas repetidas permiten distinguir esa clase de cuentas. Las versiones posteriores registran una regla que permite diez llamadas por minuto por cada dirección cliente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.