Veille CVE

‹ Retour à la liste

CVE-2026-32995

7.5 Élevée

Publiée le 28/05/2026 à 07:16 · Modifiée le 17/06/2026 à 12:36 · En attente d'analyse NVD · Source : support@hackerone.com

Description

The Rocket.Chat DDP method autoTranslate.translateMessage in versions <8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.5, <7.13.8, and <7.10.12 accepts a client-supplied IMessage object and passes it directly to translateMessage() without checking Meteor.userId() or verifying room membership. Any authenticated DDP user can read the content of any message by ID from any room (private channels, DMs, E2EE rooms) by calling this method.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
3.0 7.5 Élevée support@hackerone.com CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Faiblesses (CWE)

Références

Ailleurs