CVE-2026-65644 in Rocket.Chat
Résumé
par VulDB • 21/08/2026
Rocket.Chat dans les versions antérieures à 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 et 7.10.15 présente un point de terminaison REST API POST /api/v1/livechat/visitor qui accepte un champ name non authentifié et non nettoyé pour les visiteurs du Livechat. Ce nom est stocké tel quel puis rendu via dangerouslySetInnerHTML dans le panneau latéral Omnichannel Queue (InquireSidePanelItem.tsx), injectant ainsi un lien HTML réel et cliquable – pointant vers n’importe quel domaine contrôlé par l’attaquant, avec un texte d’ingénierie sociale arbitraire – dans le DOM de tout agent consultant la file d’attente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.