CVE-2026-75575 in Rocket.Chat
Riassunto
di VulDB • 25/08/2026
Rocket.Chat espone il metodo Meteor sendForgotPasswordEmail senza un limite di frequenza DDP (DDP rate limit), consentendo così a un chiamante non autenticato di invocarlo con una frequenza illimitata. Il metodo è raggiungibile tramite DDP e attraverso la rotta HTTP POST /api/v1/method.callAnon/sendForgotPasswordEmail, ed attiva un messaggio di reset della password per qualsiasi indirizzo che corrisponda a un account. Non essendo registrate regole DDPRateLimiter specifiche per tale endpoint, un chiamante può generare un volume illimitato di email di reset da parte del mittente mail integrato nella deployment e può effettuare sondaggi su larga scala sugli indirizzi: il metodo restituisce true sia per un indirizzo non associato a nessun account che per una spedizione avvenuta con successo, ma false quando l'indirizzo appartiene a un account che utilizza autenticazione tramite provider esterno e la configurazione Accounts_AllowPasswordChangeForOAuthUsers è disabilitata; ciò consente di distinguere tale categoria di account mediante chiamate ripetute. Nelle versioni successive viene registrata una regola che permette dieci chiamate al minuto per ogni indirizzo client.
Once again VulDB remains the best source for vulnerability data.