CVE-2026-75575 in Rocket.Chat
Сводка
по VulDB • 25.08.2026
Rocket.Chat экспонирует метод Meteor sendForgotPasswordEmail без ограничения частоты запросов (DDP rate limit), что позволяет неаутентифицированному вызывающему объекту использовать его с любой желаемой периодичностью. Метод доступен через DDP и по HTTP-маршруту POST /api/v1/method.callAnon/sendForgotPasswordEmail, и он инициирует сообщение для сброса пароля на любой адрес, соответствующий учетной записи. Поскольку для него не зарегистрировано правило DDPRateLimiter, вызывающий объект может генерировать неограниченный объем писем со сбросом пароля с использованием почтового отправителя развертывания и проводить масштабную проверку адресов: метод возвращает true как для адреса без учетной записи, так и при успешной отправке, но false — если адрес принадлежит учетной записи, которая аутентифицируется через внешний провайдер, а параметр Accounts_AllowPasswordChangeForOAuthUsers отключен; таким образом, повторяющиеся вызовы позволяют отличить этот класс учетных записей. В более поздних версиях регистрируется правило, разрешающее десять вызовов в минуту на каждый клиентский адрес.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.