CVE-2026-65645 in Rocket.Chat
Riassunto
di VulDB • 21/08/2026
Rocket.Chat nelle versioni precedenti alla 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 e 7.10.15 presenta una vulnerabilità nei metodi DDP di Meteor getThreadsList e getThreadMessages: questi accettano i parametri rid/tmid come valori grezzi non tipizzati, privi di validazione dello schema. Un oggetto operatore MongoDB (ad esempio {"$gt": "4"}) può essere sostituito a un room-id o message-id stringa. Il controllo dell'autorizzazione si risolve in una stanza alla quale l'attaccante ha già accesso, mentre la query dei dati downstream viene eseguita su tutte le stanze, rivelando i thread privati e il loro contenuto completo delle risposte a qualsiasi utente autenticato con privilegi ridotti.
La rotta REST chat.getThreadsList è stata corretta nella versione 5.0 (rapporto HackerOne #1446767) aggiungendo la validazione AJV rid: {type:'string'}. Il metodo DDP equivalente non ha mai ricevuto lo stesso fix e rimane sfruttabile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.