CVE-2026-48007

Element Call, yerel bir Matrix video konferans uygulamasıdır. 0.5.17 ile 0.19.3 sürümleri, config.json içindeki bir `posthog` anahtarıyla veya `posthogApiHost` ve `posthogApiKey` URL parametreleriyle yapılandırıldığında bir PostHog sunucusuna analiz verileri bildirir. Bu verilerin birkaç alanının (`$initial_person_info`, `$session_entry_url` ve `$current_url`) kullanıcının ziyaret ettiği sayfanın parça (fragment) dahil tam URL'sini içerdiği tespit edilmiştir. Bu nedenle https://call.element.io gibi bağımsız bir Element Call 'SPA' örneğinin kullanıcıları, belirli aramaların tam URL'lerini, şifreleme parolaları dahil, yapılandırılmış PostHog sunucusuna bildirmiş olabilir; bu da hem PostHog analiz verilerine hem de şifrelenmiş medya akışlarına erişebilen aktörler için aramaların gizliliğini potansiyel olarak tehlikeye atabilir. Aynı sorun Element Call'ın gömülü paketinde de mevcuttur, ancak pratikte bu paketi kullanan uygulamaları (Element Web, Element Desktop, Element X iOS ve Element X Android dahil) etkilemez çünkü bu uygulamalar şifreleme anahtarlarını URL'de bir parola kodlamak yerine Matrix üzerinden dağıtır. Sorun Element Call 0.19.4'te giderilmiştir. Bazı geçici çözümler mevcuttur. Kullanıcılar Element Call ayarlarının 'Feedback' sekmesinde analizlerden vazgeçebilir ve gelecekteki aramalar için yeni bağlantılar oluşturabilir. Element Call'ı bağımsız bir uygulama olarak barındıran yöneticiler, dağıtımlarının config.json dosyasından `posthog` anahtarını kaldırarak PostHog analizlerini tamamen devre dışı bırakabilir.