CVE-2026-30833

Nome do Software Vulnerável e Versões Afetadas Versões do Rocket.Chat anteriores a 7.10.8 Versões do Rocket.Chat anteriores a 7.11.5 Versões do Rocket.Chat anteriores a 7.12.5 Versões do Rocket.Chat anteriores a 7.13.4 Versões do Rocket.Chat anteriores a 8.0.2 Versões do Rocket.Chat anteriores a 8.1.1 Versões do Rocket.Chat anteriores a 8.2.0

Descrição O Rocket.Chat é uma plataforma de comunicação. Existe uma vulnerabilidade de injeção NoSQL no serviço de contas dentro do microsserviço ddp-streamer. Isso permite que atacantes não autenticados manipulem consultas MongoDB durante a autenticação. O problema está presente no fluxo de login baseado em nome de usuário, no qual a entrada fornecida pelo usuário é incorporada diretamente a um seletor de consulta MongoDB sem validação adequada. Um atacante pode injetar expressões de operadores MongoDB, como { $regex: '.*' }, no lugar de um nome de usuário, fazendo com que a consulta do banco de dados corresponda a registros de usuários não pretendidos. A vulnerabilidade afeta o serviço ddp-streamer.

Recomendações Atualize o Rocket.Chat para a versão 7.10.8 ou superior. Atualize o Rocket.Chat para a versão 7.11.5 ou superior. Atualize o Rocket.Chat para a versão 7.12.5 ou superior. Atualize o Rocket.Chat para a versão 7.13.4 ou superior. Atualize o Rocket.Chat para a versão 8.0.2 ou superior. Atualize o Rocket.Chat para a versão 8.1.1 ou superior. Atualize o Rocket.Chat para a versão 8.2.0 ou superior.