CVE-2026-45688: Injeção NoSQL no login CAS do Rocket.Chat com emissão de token de sessão
Versões do Rocket.Chat anteriores às releases corrigidas contêm uma falha de injeção NoSQL no manipulador de login CAS, classificada como crítica pelo GitHub Security Advisories com pontuação CVSS 3.1 de 9.1. Segundo o registro, um atacante não autenticado pode obter um token de autenticação válido de um usuário que esteja fazendo login via CAS ou SAML SSO ao mesmo tempo, e uma vítima administradora poderia levar ao comprometimento total da instância. A atualização para uma versão corrigida é a principal medida de remediação.
Visão geral
Versões do Rocket.Chat anteriores às releases corrigidas contêm uma fragilidade de injeção NoSQL no manipulador de login CAS, que o registro associa ao CWE-943. A CNA, GitHub Security Advisories, classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.1 e vetor de rede que não exige privilégios nem interação do usuário.
Impacto
Segundo o registro, um atacante não autenticado pode contornar a verificação do ticket CAS e obter um token de autenticação Meteor vinculado a um usuário que esteja fazendo login via CAS ou SAML SSO ao mesmo tempo. O registro afirma que esse token pode ser usado contra as interfaces REST e DDP como aquele usuário. Se o usuário visado for administrador, o registro indica que o atacante poderia chegar ao comprometimento total da instância por meio da instalação de aplicativos do Apps-Engine. O vetor CVSS classifica o impacto em confidencialidade e integridade como alto e o impacto em disponibilidade como nulo.
Produtos afetados e versões
- Produto: Rocket.Chat, a plataforma de comunicação de código aberto.
- Versões descritas como vulneráveis: releases anteriores a 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.
- Versões corrigidas listadas no registro: 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.
- A lista estruturada de produtos afetados no registro está vazia, por isso a correspondência exata de cada versão corrigida com sua linha de release é desconhecida a partir dos dados disponíveis. Consulte o aviso do GitHub para os detalhes oficiais por linha de versão.
Status de exploração
O catálogo KEV da CISA não lista este CVE nos dados disponíveis, e nenhuma exploração confirmada aparece nas fontes consultadas. O registro não contém pontuação EPSS.
Correção e mitigação
- Atualize o Rocket.Chat para a release corrigida da sua linha de versão, conforme listado acima.
- Até concluir a atualização, reduza a exposição limitando, quando sua implantação permitir, quem pode acessar os endpoints de login CAS e SAML, e avalie se o SSO é necessário na sua instância.
- Revise as contas de administrador e sua atividade recente, e renove credenciais de contas que possam ter sido afetadas, seguindo os procedimentos internos de resposta a incidentes.
- O registro consultado não descreve uma solução alternativa oferecida pelo fornecedor. Consulte o aviso do GitHub para eventuais orientações adicionais.
Orientações para detecção
- Revise os logs de autenticação em busca de sequências de login CAS ou SAML incomuns ou inesperadas, especialmente tentativas que não correspondem ao padrão normal de um usuário.
- Procure criação inesperada de sessões ou tokens em contas de administrador e acessos de origens desconhecidas logo após logins SSO.
- Audite instalações recentes de aplicativos do Apps-Engine e alterações em configurações administrativas, já que o registro identifica a instalação de aplicativos como o caminho de escalada para administradores.
- Trate esses indicadores como pontos de partida para investigação, e não como evidência confirmada de comprometimento.
Limitações das informações disponíveis
- O registro se baseia na descrição de um GitHub Security Advisory e não possui dados estruturados de produtos afetados ou corrigidos.
- O nome do CWE, o EPSS, o SSVC e os detalhes do KEV estão ausentes ou vazios no registro.
- O status da fonte no NVD está indicado como Deferred.
- Nenhuma prova de conceito independente, resultado de teste do fornecedor ou relato de exploração foi consultado, de modo que a descrição é apresentada conforme afirmada pela fonte.
Perguntas frequentes
O que é o CVE-2026-45688?
É uma fragilidade de injeção NoSQL no manipulador de login CAS do Rocket.Chat, classificada como CWE-943 e considerada crítica com pontuação CVSS 3.1 de 9.1 pelo GitHub Security Advisories.
Quais versões estão corrigidas?
O registro lista as versões corrigidas 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11. Consulte o aviso para confirmar qual versão corrigida se aplica à sua linha de release.
Esta vulnerabilidade está sendo explorada ativamente?
Ela não aparece no catálogo KEV da CISA nos dados disponíveis, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.