CVE-2026-55666: Rocket.Chat: autenticação inadequada no login OAuth da Apple

Visão geral

O Rocket.Chat é uma plataforma de comunicação de código aberto. Segundo o aviso de segurança do GitHub vinculado a esta CVE, o manipulador de login OAuth da Apple em apps/meteor/app/apple/server/loginHandler.ts pode aceitar um valor de e-mail enviado diretamente na requisição quando o token de identidade da Apple não contém endereço de e-mail. A fraqueza é classificada como CWE-287 (Autenticação Inadequada).

Impacto

O aviso descreve a consequência como tomada de conta.
A pontuação base CVSS 4.0 atribuída pela CNA é 9,3 (crítica), com vetor de ataque pela rede, sem privilégios exigidos, sem interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
O registro descreve o gatilho apenas em termos gerais: tokens sem endereço de e-mail são a condição que ativa o mecanismo de fallback.

Produtos e versões afetadas

Produto: Rocket.Chat.
A descrição indica que as versões anteriores a 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7 e 7.10.13 são afetadas, e que a correção está nessas versões.
A lista estruturada de versões afetadas está vazia, portanto a faixa exata afetada em cada ramo de versão é desconhecida a partir do registro.

Status de exploração

Esta CVE não aparece no catálogo CISA KEV no registro, portanto a exploração ativa não está confirmada.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Não há pontuação EPSS disponível no registro.

Correção e mitigação

Atualize o Rocket.Chat para a versão corrigida do seu ramo: 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7 ou 7.10.13.
Se não for possível atualizar imediatamente, considere desativar temporariamente o login com Apple onde ele não for operacionalmente necessário. Esta é uma sugestão defensiva geral e não consta no aviso.
Consulte o aviso do fornecedor GHSA-wx3c-76rf-wpwf para orientações oficiais.

Orientações de detecção

Revise os logs de autenticação de logins feitos via Apple, especialmente sessões em que o e-mail associado à conta não corresponde aos dados do provedor de identidade.
Monitore alterações inesperadas de e-mail, redefinições de senha ou novas sessões em contas que usam login com Apple.
Correlacione eventos de autenticação com relatos de usuários sobre atividades de conta que não iniciaram.

Limitações das informações disponíveis

O registro estruturado não contém campos de versões afetadas ou corrigidas; os dados de versão vêm do texto da descrição.
O registro não referencia código de prova de conceito público nem telemetria de exploração.
Não há dados de CISA ADP, SSVC ou EPSS no registro.
O registro não informa se o cenário do vetor CVSS reflete uma implantação com login da Apple habilitado por padrão.

Perguntas frequentes

O que é a CVE-2026-55666?

É uma falha crítica de autenticação inadequada no tratamento do login OAuth da Apple no Rocket.Chat. Quando o token da Apple não contém e-mail, a aplicação recorre a um valor de e-mail enviado na requisição, o que o aviso relaciona a tomada de conta.

Quais versões estão corrigidas?

Segundo a descrição do registro, as versões corrigidas são 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7 e 7.10.13. A lista estruturada de versões afetadas está vazia, então verifique o seu ramo de versão em relação a essas correções.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a lista no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.