CVE-2026-48929

Nome do Software Vulnerável e Versões Afetadas Rocket.Chat versões anteriores a 8.5.1 Rocket.Chat versões anteriores a 8.4.4 Rocket.Chat versões anteriores a 8.3.6 Rocket.Chat versões anteriores a 8.2.6 Rocket.Chat versões anteriores a 8.1.6 Rocket.Chat versões anteriores a 8.0.7 Rocket.Chat versões anteriores a 7.13.9 Rocket.Chat versões anteriores a 7.10.13

Description Um problema permite a exclusão de arquivos não autenticada por meio do método Meteor deleteFileMessage. Quando este método é chamado através de uma conexão WebSocket DDP (Distributed Data Protocol) não autenticada, a função Meteor.userId() retorna nulo, o que ignora a verificação de autorização. Isso leva à execução de FileUpload.getStore('Uploads').deleteById(fileID), resultando na remoção incondicional do arquivo tanto do armazenamento quanto do banco de dados. O fileID necessário pode ser obtido de URLs de download ou de payloads de mensagens de canais públicos.

Recommendations Atualize para a versão 8.5.1 ou posterior. Atualize para a versão 8.4.4 ou posterior. Atualize para a versão 8.3.6 ou posterior. Atualize para a versão 8.2.6 ou posterior. Atualize para a versão 8.1.6 ou posterior. Atualize para a versão 8.0.7 ou posterior. Atualize para a versão 7.13.9 ou posterior. Atualize para a versão 7.10.13 ou posterior.