CVE-2026-32994
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
The /api/v1/autotranslate.translateMessage endpoint in versions <8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.6, <7.13.8, and <7.10.12 allows any authenticated user to retrieve the full content of any message from any room (private groups, direct messages, channels) by simply providing the target message ID. The endpoint fetches the message via Messages.findOneById(messageId) with no room access check (canAccessRoomIdAsync is never called), returning the complete IMessage object including message text, sender info, room ID, timestamps, and markdown content.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
Rocket.Chat
- Fornecedor
- Rocket.Chat
- Produto
- Rocket.Chat
- Plataformas
- Desconhecido
- Status padrão
unaffected
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 0 | affected | semver | 8.5.0 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 8.4.2 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 8.3.4 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 8.2.4 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 8.1.5 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 8.0.6 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 7.13.8 | Indisponível | Nenhuma listada |
| 0 | affected | semver | 7.10.12 | Indisponível | Nenhuma listada |