CVE-2026-48007 in Element Call
Résumé
par VulDB • 08/08/2026
Element Call est une application de visioconférence native pour Matrix. Les versions 0.5.17 à 0.19.3 envoient des données d'analyse (analytics) vers un serveur PostHog, lorsqu'elles sont configurées via la clé `posthog` dans le fichier config.json ou par les paramètres URL `posthogApiHost` et `posthogApiKey`. Plusieurs champs de ces données (`$initial_person_info`, `$session_entry_url` et `$current_url`) se sont avérés contenir l'intégralité de l'URL de la page visitée par l'utilisateur, y compris le fragment. Les utilisateurs d'une instance autonome « SPA » (Single Page Application) d'Element Call telle que https://call.element.io peuvent ainsi avoir transmis les URL complètes de certains appels, incluant les mots de passe de chiffrement, au serveur PostHog configuré, compromettant potentiellement la confidentialité des appels à l'encontre d'acteurs susceptibles d'accéder simultanément aux données analytiques PostHog et aux flux multimédias chiffrés. Le même problème est présent dans le package intégré (embedded) d'Element Call, mais en pratique, il n'affecte pas les applications utilisant ce package (y compris Element Web, Element Desktop, Element X iOS et Element X Android), car celles-ci distribuent les clés de chiffrement via Matrix plutôt que d'intégrer un mot de passe dans l'URL. Le problème est corrigé dans la version 0.19.4 d'Element Call. Des solutions de contournement sont disponibles. Les utilisateurs peuvent refuser le suivi analytique dans l'onglet « Feedback » des paramètres d'Element Call et générer de nouveaux liens pour les appels futurs. Les administrateurs hébergeant Element Call en tant qu'application autonome peuvent désactiver entièrement les analyses PostHog en supprimant la clé `posthog` du fichier config.json de leur déploiement.
Once again VulDB remains the best source for vulnerability data.