CVE-2026-45688

Rocket.Chat açık kaynaklı, güvenli ve tamamen özelleştirilebilir bir iletişim platformudur. 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 ve 7.10.11 sürümlerinden önce, Rocket.Chat'in CAS giriş işleyicisi, istemci tarafından sağlanan options.cas.credentialToken değerini herhangi bir çalışma zamanı tür kontrolü yapmadan doğrudan bir MongoDB findOne({_id: ...}) sorgusuna iletmektedir. TypeScript'in dize parametre açıklaması çalışma zamanında silindiğinden, kimliği doğrulanmamış bir saldırgan, sunucunun opak bir bilet dizesi olmasını beklediği değer yerine bir MongoDB sorgu operatörü ({"$gt": ""}, {"$ne": null} vb.) yerleştirebilir. Enjekte edilen operatör, credential_tokens koleksiyonundaki süresi dolmamış ilk belgeyle eşleşerek CAS bilet kontrolünü tamamen atlatır. Herhangi bir meşru CAS veya SAML SSO girişi gerçekleştiğinde, saldırganın bir sonraki DDP giriş çağrısı, NoSQL operatörü aracılığıyla aynı credential-token satırı ile eşleşir ve kurbana bağlı tam bir Meteor yetkilendirme belirteci (userId + token) alır. Belirteç, söz konusu kullanıcı olarak tüm REST ve DDP yüzeyine karşı hemen kullanılabilir. Kurban bir yöneticiyse, bu durum Apps-Engine uygulama kurulumu yoluyla tam örnek ele geçirmeye yol açar. Bu güvenlik açığı 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 ve 7.10.11 sürümlerinde giderilmiştir.