CVE-2026-29198

Rocket.Chat — NoSQL injection umożliwiający przejęcie konta (SQLi)

CVSS 9.8v3.1pub. 2026-04-23upd. 2026-05-13

W platformie Rocket.Chat wykryto podatność typu NoSQL injection (CWE-89), która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta pierwszego użytkownika posiadającego wygenerowany token, gdy skonfigurowana jest aplikacja OAuth. Podatność uzyskała najwyższy poziom krytyczności CVSS 9.8.

▸ Pokaż oryginał (EN)

In Rocket.Chat <8.3.0, <8.2.1, <8.1.2, <8.0.3, <7.13.5, <7.12.6, <7.11.6, and <7.10.9, a NoSQL injection vulnerability can lead to account takeover of the first user with a generated token when an OAuth app is configured.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji danych wejściowych w kontekście zapytań do bazy NoSQL. Gdy w instancji Rocket.Chat skonfigurowana jest aplikacja OAuth, atakujący może spreparować złośliwe zapytanie zawierające operatory NoSQL, omijając w ten sposób mechanizmy uwierzytelniania. W efekcie możliwe jest odnalezienie i przejęcie konta pierwszego użytkownika, dla którego wygenerowano token dostępowy.

Skutki

Atakujący bez żadnego uwierzytelnienia może całkowicie przejąć konto użytkownika (account takeover), uzyskując pełny dostęp do jego danych, wiadomości oraz uprawnień w ramach instancji Rocket.Chat.

Mitygacja

Należy niezwłocznie zaktualizować Rocket.Chat do wersji 8.3.0, 8.2.1, 8.1.2, 8.0.3, 7.13.5, 7.12.6, 7.11.6 lub 7.10.9 (odpowiednio do używanej gałęzi). Jako środek tymczasowy rozważyć wyłączenie skonfigurowanych aplikacji OAuth do czasu wdrożenia patcha. Szczegóły dostępne w pull requeście producenta: https://github.com/RocketChat/Rocket.Chat/pull/39492.

Kogo dotyczy

Rocket.Chat w wersjach: poniżej 8.3.0, poniżej 8.2.1, poniżej 8.1.2, poniżej 8.0.3, poniżej 7.13.5, poniżej 7.12.6, poniżej 7.11.6 oraz poniżej 7.10.9 — wyłącznie gdy skonfigurowana jest aplikacja OAuth.

Uwagi

Podatność została zgłoszona przez platformę HackerOne (raport #3564655). Exploitation wymaga wcześniejszego skonfigurowania aplikacji OAuth w instancji Rocket.Chat — instalacje bez OAuth nie są narażone.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Rocket.chat
APP
Rocket.Chat
8.3.07.11.0 – 7.11.6 (bez)7.12.0 – 7.12.6 (bez)7.13.0 – 7.13.5 (bez)< 7.10.98.1.0 – 8.1.2 (bez)8.2.0 – 8.2.1 (bez)8.0.0 – 8.0.3 (bez)

🔵