CVE-2026-32995 in Rocket.Chat
要約
〜によって VulDB • 2026年05月28日
Rocket.ChatのDDPメソッドautoTranslate.translateMessageは、バージョン<8.5.0、<8.4.2、<8.3.4、<8.2.4、<8.1.5、<8.0.5、<7.13.8、および<7.10.12において、クライアントから提供されたIMessageオブジェクトを受け取り、Meteor.userId()をチェックしたり、ルームのメンバーシップを検証したりすることなく、直接translateMessage()に渡します。認証済みDDPユーザーは、このメソッドを呼び出すことで、任意のルーム（プライベートチャンネル、DM、E2EEルーム）から任意のメッセージIDの内容を読み取ることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.