CVE-2026-65645 in Rocket.Chat
요약
\~에 의해 VulDB • 2026. 08. 21.
Rocket.Chat의 8.8.0 미만, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 및 7.10.15 버전에서 Meteor DDP 메서드인 getThreadsList와 getThreadMessages는 rid/tmid를 스키마 검증 없이 원시 비타입 파라미터로 받습니다. 문자열 room-id 또는 message-id 대신 MongoDB 연산자 객체(예: {"$gt": "4"})가 대체될 수 있습니다. 인증 확인은 공격자가 이미 접근할 수 있는 방으로 해결되지만, 하위 데이터 쿼리는 모든 방에 걸쳐 분기되어 저권한 인증 사용자에게도 비공개 스레드 부모 및 전체 응답 내용을 노출시킵니다.
REST 엔드포인트 chat.getThreadsList는 v5.0에서 rid: {type:'string'} AJV 검증을 추가하여 패치되었습니다(HackerOne 보고서 #1446767). 동일한 DDP 메서드는 같은 수정을 받지 않았으며 여전히 공격 가능합니다.
Once again VulDB remains the best source for vulnerability data.