CVE-2026-30833
Təsvir
Rocket.Chat açıq mənbəli, təhlükəsiz və tamamilə fərdiləşdirilə bilən kommunikasiya platformasıdır. Versiyalar 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1 və 8.2.0-dan əvvəlki versiyalarda, ddp-streamer mikroservisində istifadə olunan Rocket.Chat hesab xidmətində autentifikasiya zamanı MongoDB sorğularını manipulyasiya etməyə imkan verən NoSQL injection zəifliyi mövcuddur. Zəiflik, istifadəçi tərəfindən təmin edilən girişin validasiya olmadan birbaşa MongoDB sorğu selektoruna yerləşdirildiyi istifadəçi adına əsaslanan giriş axınında yerləşir. Hücumçu istifadəçi adı sətri əvəzinə MongoDB operator ifadələri (məsələn, { $regex: '.*' }) inyeksiya edərək verilənlər bazası sorğusunun nəzərdə tutulmayan istifadəçi qeydləri ilə uyğunlaşmasına səbəb ola bilər. Bu problem 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1 və 8.2.0 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- rocket.chat rocket.chat7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rocket.chat rocket.chat | v < 7.10.8, 7.11.0 ≤ v < 7.11.5, 7.12.0 ≤ v < 7.12.5, 7.13.0 ≤ v < 7.13.4, 8.0.0 ≤ v < 8.0.2, 8.1.0 ≤ v < 8.1.1, 8.2.0 | 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.