PT-2026-23738
CVE-2026-30833
·
تاريخ النشر
2026-03-06
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Rocket.Chat الأقدم من 7.10.8
إصدارات Rocket.Chat الأقدم من 7.11.5
إصدارات Rocket.Chat الأقدم من 7.12.5
إصدارات Rocket.Chat الأقدم من 7.13.4
إصدارات Rocket.Chat الأقدم من 8.0.2
إصدارات Rocket.Chat الأقدم من 8.1.1
إصدارات Rocket.Chat الأقدم من 8.2.0
الوصف
Rocket.Chat هي منصة اتصال. توجد ثغرة أمنية تتعلق بحقن NoSQL في خدمة الحسابات داخل الخدمة المصغرة ddp-streamer. وهذا يسمح للمهاجمين غير المصادق عليهم بالتلاعب باستعلامات MongoDB أثناء عملية المصادقة. توجد المشكلة في مسار تسجيل الدخول القائم على اسم المستخدم، حيث يتم دمج المدخلات التي يقدمها المستخدم مباشرةً في محدد استعلام MongoDB دون إجراء التحقق المناسب. يمكن للمهاجم حقن تعبيرات مشغلات MongoDB، مثل
{ $regex: ’.*‘ }، بدلاً من اسم المستخدم، مما يؤدي إلى مطابقة استعلام قاعدة البيانات لسجلات مستخدمين غير مقصودة. تؤثر هذه الثغرة الأمنية على خدمة ddp-streamer.التوصيات
قم بتحديث Rocket.Chat إلى الإصدار 7.10.8 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 7.11.5 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 7.12.5 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 7.13.4 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 8.0.2 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 8.1.1 أو أحدث.
قم بتحديث Rocket.Chat إلى الإصدار 8.2.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾