CVE-2026-63097

Nome do Software Vulnerável e Versões Afetadas Dendrite versões anteriores a 0.13.9

Description Um problema de controle de acesso inadequado existe no endpoint syncapi /context (syncapi/routing/context.go). Usuários locais autenticados podem acessar eventos de estado de sala que deveriam estar restritos após terem saído da sala. Isso ocorre porque a verificação de associação avalia incorretamente apenas o campo RoomExists, ignorando os campos IsInRoom, HasBeenInRoom e Membership. Consequentemente, usuários que saíram de uma sala podem usar o endpoint da API de contexto de salas para recuperar o estado atual da sala sem filtragem, ignorando as restrições corretamente implementadas nos endpoints /messages e /sync.

Recommendations Atualize para uma versão posterior a 0.13.8. Restrinja o acesso ao endpoint syncapi /context para minimizar o risco de acesso não autorizado a dados.