CVE-2026-65644 in Rocket.Chat
요약
\~에 의해 VulDB • 2026. 08. 21.
Rocket.Chat의 8.8.0 미만 버전(8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 및 7.10.15)에는 POST /api/v1/livechat/visitor REST API 엔드포인트가 포함되어 있으며, 이는 인증되지 않은(Livechat 방문자에 대한 비인증) 그리고 정제되지 않은(sanitized 처리되지 않은) name 필드를 허용합니다. 이 이름은 원본 그대로 저장되며 나중에 Omnichannel Queue 사이드 패널(InquireSidePanelItem.tsx)에서 dangerouslySetInnerHTML를 통해 렌더링됩니다. 이를 통해 공격자가 제어하는 도메인을 가리키고 임의의 소셜 엔지니어링 텍스트가 포함된 실제 클릭 가능한 HTML 링크가 대기열을 조회하는 모든 에이전트의 DOM에 삽입됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.