CVE-2026-75575 in Rocket.Chat
Résumé
par VulDB • 25/08/2026
Rocket.Chat expose la méthode Meteor sendForgotPasswordEmail sans limite de taux DDP (DDP rate limit), permettant ainsi à un appelant non authentifié d’invoquer cette fonction autant de fois qu’il le souhaite. La méthode est accessible via DDP et par l’intermédiaire du point de terminaison HTTP POST /api/v1/method.callAnon/sendForgotPasswordEmail, et elle déclenche un message de réinitialisation de mot de passe pour toute adresse correspondant à un compte. En l’absence de règle DDPRateLimiter enregistrée pour cette méthode, un appelant peut générer un volume illimité d’e-mails de réinitialisation depuis l’expéditeur de messagerie propre au déploiement vers une adresse cible, et procéder à des sondages massifs : la méthode renvoie true (vrai) si l’adresse ne correspond à aucun compte ou si l’envoi réussit, mais false (faux) lorsque l’appartenance du compte est authentifiée via un fournisseur externe et que le paramètre Accounts_AllowPasswordChangeForOAuthUsers est désactivé ; les appels répétés permettent ainsi de distinguer cette catégorie de comptes. Les versions ultérieures enregistrent une règle autorisant dix appels par minute par adresse cliente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.