CVE-2026-32995
Yüksək
Təsvir
Rocket.Chat-in <8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.5, <7.13.8 və <7.10.12 versiyalarındakı DDP metodu olan autoTranslate.translateMessage, müştəri tərəfindən təmin edilən IMessage obyektini qəbul edir və Meteor.userId()-ni yoxlamadan və ya otağa üzvlüyü təsdiqləmədən birbaşa translateMessage() funksiyasına ötürür. Hər hansı autentifikasiya olunmuş DDP istifadəçisi bu metodu çağıraraq hər hansı otaqdakı (özəl kanallar, DM-lər, E2EE otaqları) hər hansı mesajın məzmununu onun ID-si vasitəsilə oxuya bilər.
CiddilikYüksək
CVSS7.5
İstismar ehtimalı—
Məhsul
Rocket.Chat
Dərc28 may 2026
İlk görülmə28 may 2026
Zəiflik növüCWE-284Yanlış giriş nəzarəti
Necə düzəltmək olar
Yeniləyin
- Rocket.Chat Rocket.Chat8.5.0, 8.4.2, 8.3.4, 8.2.4, 8.1.5, 8.0.6, 7.13.8, 7.10.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Rocket.Chat Rocket.Chat | 8.5.0, 8.4.0 ≤ v < 8.4.2, 8.3.0 ≤ v < 8.3.4, 8.2.0 ≤ v < 8.2.4, 8.1.0 ≤ v < 8.1.5, 8.0.0 ≤ v < 8.0.6, 7.13.0 ≤ v < 7.13.8, 7.10.0 ≤ v < 7.10.12 | 8.5.0, 8.4.2, 8.3.4, 8.2.4, 8.1.5, 8.0.6, 7.13.8, 7.10.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.