CVE-2026-45689 — Rocket.Chat: injeção de operadores NoSQL no endpoint OAuth2 permite emissão de tokens de acesso sem autenticação
Rocket.Chat é uma plataforma de comunicação de código aberto, segura e totalmente personalizável. Antes das versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11, um atacante de rede não autenticado obtém um token de acesso OAuth válido do Rocket.Chat para um usuário arbitrário enviando uma única requisição HTTP POST com operadores de consulta do MongoDB para /oauth/token. O servidor OAuth2 do Rocket.Chat não valida se os parâmetros de concessão são strings antes de encaminhá-los para findOne({...}) nas coleções oauth_apps e oauth_access_tokens, então o atacante substitui client_id, client_secret e refresh_token por {"$ne": null} e recebe um par {access_token, refresh_token} recém-emitido, vinculado ao refresh token do usuário que o Mongo retornou primeiro. O access token resultante é uma credencial bearer de primeira classe contra toda a superfície /api/v1/* como esse usuário. Iterando com operadores $nin / $regex, o atacante percorre toda a coleção oauth_access_tokens, coletando um novo access token por usuário por requisição. Se algum token correspondido pertencer a um administrador, o bearer roubado concede acesso administrativo total à API (incluindo instalação de apps do Apps-Engine, ou seja, execução de código no lado do servidor). Não são necessários conta, credenciais, userId nem interação prévia com a instância. Esta vulnerabilidade está corrigida nas versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.
Tradução automática da descrição oficial; o texto em inglês prevalece em caso de divergência.
Quem explora e qual a prioridade
Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.
Como a nota foi calculada
- EPSS 0.5% (probabilidade de exploração em 30 dias)+6
- Severidade técnica (critical)+10
- CISA SSVC: exploração "poc"+5
A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).
Triagem
Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.
Avaliação SSVC da CISA CISA
Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.
Remediação
Correções e mitigações documentadas pelas fontes — com link para o aviso original.
Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.
Primeiras 24 horas
Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.
- Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (RocketChat Rocket.chat).
- O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
- Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
- Procure nos logs disponíveis sinais de tentativa de exploração, erros e anomalias de autenticação.
Escopo afetado
Fabricante, produto e versões como as fontes os descrevem.
| Fabricante | Produto | Versões | Status | Fonte |
|---|---|---|---|---|
| RocketChat | Rocket.chat | versão >= 8.5.0-rc.0, < 8.5.0versão >= 8.4.0-rc.0, < 8.4.1versão >= 8.3.0-rc.0, < 8.3.3versão >= 8.2.0-rc.0, < 8.2.3versão >= 8.1.0-rc.0, < 8.1.4versão >= 8.0.0-rc.0, < 8.0.5versão >= 7.11.0-rc.0, < 7.13.7versão < 7.10.11 | Vulnerável | CVE Program (cve.org) e CISA ADP |
Características do ataque
O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.
Todas as pontuações coletadas
As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.
| Nota | Versão | Severidade | Explor. | Impacto | Pontuado por |
|---|---|---|---|---|---|
| 9.1 | CVSS 3.1 | Crítica | 3.9 | 5.2 | security-advisories@github.com via NIST National Vulnerability Database |
| 9.1 | CVSS 3.1 | Crítica | — | — | GitHub_M via CVE Program (cve.org) e CISA ADP |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (nota exibida no topo: security-advisories@github.com) Fraqueza MITRE
Classe de fraqueza segundo o catálogo CWE do MITRE.
EPSS ao longo do tempo FIRST
13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 0.53%
Detecção
Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.
- Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
Análises e vídeos
CVE-2026-45689: Rocket.Chat: injeção de operadores NoSQL no endpoint OAuth2 permite emissão de tokens de acesso sem autenticação
A CVE-2026-45689 é uma falha crítica no endpoint de token OAuth2 do Rocket.Chat, em que parâmetros de concessão não são validados como strings antes de serem usados em consultas do MongoDB. Segundo o aviso do GitHub, um atacante de rede não autenticado pode obter um token de acesso válido vinculado a um usuário e, se esse usuário for administrador, o token concede amplo acesso administrativo à API. O registro indica pontuação CVSS 3.1 de 9.1, lista as versões corrigidas na descrição e não mostra exploração confirmada no catálogo KEV da CISA.
Linha do tempo
O que aconteceu com esta CVE, do mais recente ao mais antigo.
- 2026
- Produtos afetados adicionados · rocketchat/rocket.chat
- Avaliação SSVC atualizada
- Ficha publicada
- CVSS alterado · 9.1
- Status na fonte alterado · → Deferred
- Registro criado nesta base
- CVE publicada
Atividade das fontes
Leituras que se repetem foram contadas em vez de listadas.
- 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026
Referências
1 no registro
Em outras páginas do site
CVEs relacionadas (mesmos produtos)
- Média CVE-2026-75575 Rocket.Chat Missing DDP Rate Limit on the sendForgotPasswordEmail Meteor Method 24/08/2026
- Média CVE-2026-65645 Improper Input Validation em RocketChat Rocket.chat 21/08/2026
- Alta CVE-2026-65644 Cross-site Scripting (XSS) em RocketChat Rocket.chat 21/08/2026
- Crítica CVE-2026-58066 Improper Authentication em RocketChat Rocket.chat 30/07/2026
- Crítica CVE-2026-55666 Rocket.Chat: autenticação inadequada no login OAuth da Apple (CVE-2026-55666) 24/06/2026
- Alta CVE-2026-55759 Rocket.Chat: Apple Sign-In skips JWT claims validation, allowing expired and cross-audience token replay 24/06/2026
Não consta em nenhuma fonte consultada
Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.
- Nenhuma versão corrigida, patch ou mitigação documentada.
- Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
- Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
- Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.
Respondido a partir deste registro
Texto montado apenas com os campos acima — sem afirmações adicionais.
O que os defensores devem saber primeiro?
CVE-2026-45689 é "Rocket.Chat: injeção de operadores NoSQL no endpoint OAuth2 permite emissão de tokens de acesso sem autenticação", de severidade Crítica. Afeta Rocket.chat (RocketChat); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 9.1 descreve a severidade técnica. EPSS 0.53% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.
Comentários
Discussão técnica moderada. Leia as regras da comunidade.
Nenhum comentário ainda.
Entre ou crie uma conta para comentar e sugerir correções.