CVE-2026-28514
Açıklama
Rocket.Chat; açık kaynaklı, güvenli ve tamamen özelleştirilebilir bir iletişim platformudur. 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3 ve 8.0.0 versiyonlarından öncekilerde, ddp-streamer mikro servisinde kullanılan Rocket.Chat hesap servisinde, bir saldırganın rastgele herhangi bir şifre kullanarak, şifresi belirlenmiş herhangi bir kullanıcı olarak servise giriş yapmasına izin veren kritik bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. Zafiyet, asenkron bir şifre doğrulama fonksiyonu çağrılırken await anahtar kelimesinin eksikliğinden kaynaklanmakta ve gerçek boolean doğrulama sonucu yerine her zaman doğru kabul edilen (truthy) bir Promise nesnesinin değerlendirilmesine yol açmaktadır. Bu durum, kullanıcı adı bilinen veya tahmin edilebilen herhangi bir kullanıcının hesabının ele geçirilmesine neden olabilir. Bu sorun 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3 ve 8.0.0 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- rocket.chat rocket.chat7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rocket.chat rocket.chat | v < 7.8.6, 7.9.0 ≤ v < 7.9.8, 7.10.0 ≤ v < 7.10.7, 7.11.0 ≤ v < 7.11.4, 7.12.0 ≤ v < 7.12.4, 7.13.0 ≤ v < 7.13.3, 8.0.0 | 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.