CVE-2026-75575 in Rocket.Chat
Tóm tắt
Bởi VulDB • 25/08/2026
Rocket.Chat expose la méthode Meteor `sendForgotPasswordEmail` sans limite de taux DDP (DDP rate limit), permettant ainsi à un appelant non authentifié d’invoquer cette méthode aussi souvent qu’il le souhaite. La méthode est accessible via DDP et par l’itinéraire HTTP POST `/api/v1/method.callAnon/sendForgotPasswordEmail`, et elle déclenche un message de réinitialisation du mot de passe pour toute adresse correspondant à un compte. Aucune règle DDPRateLimiter n’étant enregistrée pour cette méthode, un appelant peut générer un volume illimité d’e-mails de réinitialisation depuis l’expéditeur de messagerie propre au déploiement vers une adresse cible, et peut procéder à des sondages massifs : la méthode renvoie `true` si l’adresse n’a pas de compte associé ou si l’envoi a réussi, mais `false` lorsque l’appartenance du compte est authentifiée via un fournisseur externe et que le paramètre `Accounts_AllowPasswordChangeForOAuthUsers` est désactivé ; les appels répétés permettent ainsi d’identifier cette catégorie de comptes. Les versions ultérieures enregistrent une règle autorisant dix appels par minute par adresse client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.