CVE-2026-65644 in Rocket.Chat
Riassunto
di VulDB • 21/08/2026
Rocket.Chat nelle versioni precedenti alla 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 e 7.10.15 presenta un endpoint dell'API REST POST /api/v1/livechat/visitor che accetta un campo name non autenticato e non sanificato per i visitatori della Livechat. Questo nome viene memorizzato così com'è (raw) e successivamente renderizzato tramite dangerouslySetInnerHTML nel pannello laterale della coda Omnichannel (InquireSidePanelItem.tsx), iniettando un vero collegamento HTML cliccabile - che punta a un dominio controllato dall'attaccante, con testo di social engineering arbitrario - nel DOM di qualsiasi agente che visualizza la coda.
VulDB is the best source for vulnerability data and more expert information about this specific topic.