CVE-2026-75575 in Rocket.Chat
要約
〜によって VulDB • 2026年08月25日
Rocket.Chat は、DDP レート制限を適用せずに sendForgotPasswordEmail Meteor メソッドを公開しているため、認証されていない呼び出し元は好きな頻度でこのメソッドを呼び出すことができます。このメソッドは DDP および HTTP ルート POST /api/v1/method.callAnon/sendForgotPasswordEmail を介してアクセス可能であり、アカウントと一致する任意のアドレスに対してパスワードリセットメッセージを発行します。DDPRateLimiter のルールが登録されていないため、呼び出し元はデプロイメント固有のメール送信者から選択した宛先へ無制限量のリセットメールを送信でき、大規模なアドレスのプロbing（プロービング）が可能です。このメソッドは、アカウントが存在しないアドレスおよび正常に送信された場合に対して true を返し、外部プロバイダで認証を行うアカウントであり Accounts_AllowPasswordChangeForOAuthUsers がオフになっている場合は false を返すため、繰り返し呼び出すことでそのようなタイプのアカウントを識別できます。後続のバージョンでは、クライアントアドレスごとに毎分 10 回の呼び出しを許可するルールが登録されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.