CVE-2026-45689: Rocket.Chat: injeção de operadores NoSQL no endpoint OAuth2 permite emissão de tokens de acesso sem autenticação
A CVE-2026-45689 é uma falha crítica no endpoint de token OAuth2 do Rocket.Chat, em que parâmetros de concessão não são validados como strings antes de serem usados em consultas do MongoDB. Segundo o aviso do GitHub, um atacante de rede não autenticado pode obter um token de acesso válido vinculado a um usuário e, se esse usuário for administrador, o token concede amplo acesso administrativo à API. O registro indica pontuação CVSS 3.1 de 9.1, lista as versões corrigidas na descrição e não mostra exploração confirmada no catálogo KEV da CISA.
Visão geral
A CVE-2026-45689 afeta o endpoint de token OAuth2 do Rocket.Chat, uma plataforma de comunicação de código aberto. A causa raiz descrita no registro é que parâmetros de requisição usados em buscas de autenticação não são verificados como strings simples antes de serem passados a consultas do MongoDB. A fraqueza é classificada como CWE-943, neutralização imprópria de elementos especiais na lógica de consulta de dados.
Impacto
A descrição indica que um atacante de rede não autenticado pode obter um token de acesso válido para um usuário, sem credenciais nem interação prévia. O token resultante é descrito como uma credencial bearer utilizável em toda a superfície de API desse usuário. Se o token pertencer a um administrador, o aviso afirma que ele permite acesso administrativo total à API, inclusive a instalação de aplicativos do Apps-Engine, o que o registro descreve como execução de código no servidor. O vetor CVSS 3.1 registrado indica alto impacto em confidencialidade e integridade, sem impacto em disponibilidade.
Produtos e versões afetadas
- Produto: Rocket.Chat, conforme o aviso do GitHub e a descrição do registro.
- A descrição indica que a vulnerabilidade está presente nas versões anteriores a 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11, e que está corrigida nessas versões.
- Os campos estruturados de produtos afetados e correções no registro estão vazios, portanto os intervalos acima vêm apenas do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração ativa confirmada nas fontes consultadas. Pontuação EPSS e dados SSVC não estão disponíveis no registro.
Correção e mitigação
- Atualize o Rocket.Chat para uma das versões corrigidas da linha de release em uso, conforme indicado no aviso do GitHub.
- Quando a atualização não puder ser feita imediatamente, reduza a exposição de rede da instância afetada e restrinja o acesso aos endpoints de autenticação a redes confiáveis, como medida geral de endurecimento. O registro não descreve um workaround fornecido pelo fabricante.
- Após a atualização, revise sessões ativas e tokens de API, especialmente os de contas administrativas, e revogue ou renove aqueles que possam ter sido emitidos sem uso legítimo.
Orientação para detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns ao endpoint de token OAuth, sobretudo as que não são seguidas por atividade de login interativo normal.
- Procure emissão de tokens para contas que não se autenticaram pelo fluxo habitual e atividade de API de contas administrativas vinda de endereços inesperados.
- Monitore a instalação de novos aplicativos do Apps-Engine e alterações administrativas inesperadas na configuração.
Limitações das informações disponíveis
O registro não inclui campos estruturados de produtos afetados e versões corrigidas, nem detalhes de EPSS, SSVC ou KEV além do status de listagem. Os valores de severidade da CNA e do NVD são críticos, com pontuação CVSS 3.1 de 9.1. O status da fonte está registrado como Deferred, e não há cronograma do fabricante ou metadados de correção além do texto do aviso.
Perguntas frequentes
O que é a CVE-2026-45689?
É uma vulnerabilidade crítica no endpoint de token OAuth2 do Rocket.Chat, em que parâmetros de requisição não são validados como strings antes de serem usados em consultas do MongoDB. O registro indica pontuação CVSS 3.1 de 9.1.
Quais versões estão corrigidas?
A descrição do registro indica correções nas versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11. O campo estruturado de correções está vazio, então essas informações vêm do texto da descrição.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.