CVE-2026-65645 in Rocket.Chat
Résumé
par VulDB • 21/08/2026
Rocket.Chat dans les versions antérieures à 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 et 7.10.15 présente une vulnérabilité où les méthodes DDP Meteor getThreadsList et getThreadMessages acceptent rid / tmid en tant que paramètres bruts non typés sans validation de schéma. Un objet opérateur MongoDB (par exemple {"$gt": "4"}) peut être substitué à un identifiant de salle ou d'un message sous forme de chaîne. La vérification des autorisations se résout vers une salle à laquelle l'attaquant a déjà accès, tandis que la requête de données en aval s'étend sur toutes les salles - divulguant ainsi les parents de fils privés et leur contenu complet de réponses à tout utilisateur authentifié ayant un privilège faible.
La route REST chat.getThreadsList a été corrigée dans v5.0 (rapport HackerOne #1446767) en ajoutant une validation AJV rid: {type:'string'}. La méthode DDP équivalente n'a jamais reçu la même correction et reste exploitable.
VulDB is the best source for vulnerability data and more expert information about this specific topic.