CVE-2026-65644 in Rocket.Chat
Sumário
de VulDB • 21/08/2026
Rocket.Chat nas versões anteriores à 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 e 7.10.15 possui um endpoint da API REST POST /api/v1/livechat/visitor que aceita um campo de nome não autenticado e sem sanitização para visitantes do Livechat. Esse nome é armazenado cru (raw) e posteriormente renderizado via dangerouslySetInnerHTML no painel lateral Omnichannel Queue (InquireSidePanelItem.tsx), injetando um link HTML real e clicável - apontando para qualquer domínio controlado pelo atacante, com texto de engenharia social arbitrário - no DOM de qualquer agente que visualize a fila.
Be aware that VulDB is the high quality source for vulnerability data.