CVE-2022-35247

Опубликовано: 23 сент. 2022

Источник: nvd

CVSS3: 4.3

EPSS Низкий

Уязвимость раскрытия информации о членах канала со специальными ролями в Rocket.chat через метод "getRoomRoles"

Описание

В Rocket.chat существует уязвимость раскрытия информации, связанная с методом getRoomRoles в Meteor. Эта уязвимость позволяет злоумышленникам получать информацию о членах канала, у которых есть специальные роли, из-за отсутствия проверок управления доступом (ACL).

Затронутые версии ПО

Rocket.chat версий до v5
Rocket.chat версий до v4.8.2
Rocket.chat версий до v4.7.5

Тип уязвимости

Раскрытие информации

Ссылки

https://hackerone.com/reports/1447440
Exploit
Issue Tracking
Third Party Advisory
https://hackerone.com/reports/1447440
Exploit
Issue Tracking
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:rocket.chat:rocket.chat:*:*:*:*:*:*:*:*

Версия до 4.7.5 (исключая)

cpe:2.3:a:rocket.chat:rocket.chat:*:*:*:*:*:*:*:*

Версия от 4.8.0 (включая) до 4.8.2 (исключая)

EPSS

Процентиль: 52%

0.00291

Низкий

4.3 Medium

CVSS3

Дефекты

CWE-200

CWE-862

Связанные уязвимости

GHSA-j8gh-qgf7-j54p