CVE-2026-65645 in Rocket.Chat
要約
〜によって VulDB • 2026年08月21日
Rocket.Chatのバージョン8.8.0、8.7.1、8.6.2、8.5.3、8.4.6、8.3.8、8.2.8、8.1.8、および7.10.15より前では、Meteor DDPメソッドのgetThreadsListとgetThreadMessagesは、rid / tmidをスキーマ検証なしで生かつ型指定されていないパラメータとして受け入れます。文字列のroom-idまたはmessage-idに代えてMongoDB演算子オブジェクト（例：{"$gt": "4"}）が挿入されます。認可チェックは攻撃者がすでにアクセス権を持つ部屋へと解決され、一方、後続のデータクエリはすべての部屋に対して展開されるため、低権限の認証済みユーザーに対しプライベートなスレッド親とその完全な返信内容が開示されます。
RESTルートchat.getThreadsListはv5.0でrid: {type:'string'}というAJV検証を追加することで修正されました（HackerOneレポート#1446767）。同等のDDPメソッドには同じ修正が施されず、依然として攻撃可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.