CVE-2022-44567
Açıklama
Rocket.Chat-Desktop <3.8.14 sürümünde, bir saldırganın openInternalVideoChatWindow için kötü amaçlı bir URL'yi shell.openExternal() fonksiyonuna iletmesine izin verebilecek ve uzaktan kod çalıştırmaya yol açabilecek bir komut enjeksiyonu zafiyeti bulunmaktadır (internalVideoChatWindow.ts#L17). Zafiyetin istismar edilebilmesi için dahili video sohbet penceresinin devre dışı bırakılmış olması veya bir Mac App Store derlemesinin kullanılması gerekir (internalVideoChatWindow.ts#L14). openInternalVideoChatWindow fonksiyonu Rocket.Chat-Desktop-API içinde açık olduğu için bu zafiyet bir XSS saldırısı ile istismar edilebilir.
Nasıl düzeltilir
- rocket.chat rocket.chat3.8.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rocket.chat rocket.chat | v < 3.8.14 | 3.8.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.