CVE-2026-32994
Təsvir
<8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.6, <7.13.8 və <7.10.12 versiyalarında olan /api/v1/autotranslate.translateMessage son nöqtəsi (endpoint), hər hansı autentifikasiya olunmuş istifadəçinin sadəcə hədəf mesaj ID-sini təqdim etməklə istənilən otaqdan (özəl qruplar, birbaşa mesajlar, kanallar) istənilən mesajın tam məzmununu əldə etməsinə şərait yaradır. Son nöqtə, otağa giriş yoxlaması aparmadan (canAccessRoomIdAsync heç vaxt çağırılmır) Messages.findOneById(messageId) vasitəsilə mesajı götürür və mesaj mətni, göndərən məlumatı, otaq ID-si, zaman möhürləri və markdown məzmunu daxil olmaqla tam IMessage obyektini qaytarır.
Necə düzəltmək olar
- Rocket.Chat Rocket.Chat8.5.0, 8.4.2, 8.3.4, 8.2.4, 8.1.5, 8.0.6, 7.13.8, 7.10.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Rocket.Chat Rocket.Chat | v < 8.5.0, v < 8.4.2, v < 8.3.4, v < 8.2.4, v < 8.1.5, v < 8.0.6, v < 7.13.8, v < 7.10.12 | 8.5.0, 8.4.2, 8.3.4, 8.2.4, 8.1.5, 8.0.6, 7.13.8, 7.10.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.