CVE-2026-65644
Açıklama
Rocket.Chat'in 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 ve 7.10.15 öncesi sürümlerinde, Livechat ziyaretçileri için kimlik doğrulaması gerektirmeyen ve temizlenmemiş bir name alanını kabul eden POST /api/v1/livechat/visitor REST API uç noktası bulunmaktadır. Bu ad ham olarak saklanmakta ve daha sonra Omnichannel Queue yan panelinde (InquireSidePanelItem.tsx) dangerouslySetInnerHTML aracılığıyla işlenmekte; bu da saldırganın kontrolündeki herhangi bir alan adına işaret eden, rastgele sosyal mühendislik metni içeren gerçek, tıklanabilir bir HTML bağlantısının kuyruğu görüntüleyen herhangi bir temsilcinin DOM'una enjekte edilmesine olanak tanımaktadır.
Nasıl düzeltilir
- rocket.chat rocket.chat7.10.15, 8.1.8, 8.2.8, 8.3.8, 8.4.6, 8.5.3, 8.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rocket.chat rocket.chat | v < 7.10.15, 8.1.0 ≤ v < 8.1.8, 8.2.0 ≤ v < 8.2.8, 8.3.0 ≤ v < 8.3.8, 8.4.0 ≤ v < 8.4.6, 8.5.0 ≤ v < 8.5.3, 8.6.0 ≤ v < 8.6.2, 8.7.0 | 7.10.15, 8.1.8, 8.2.8, 8.3.8, 8.4.6, 8.5.3, 8.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.