Rocket.Chat – Authentifizierungsumgehung im ddp-streamer (fehlendes await)

Beschreibung

In der vom ddp-streamer-Microservice genutzten Account-Komponente von Rocket.Chat besteht eine kritische Authentifizierungsumgehung. Ein fehlendes await beim Aufruf der asynchronen Passwortprüfung führt dazu, dass statt des booleschen Ergebnisses ein stets wahres Promise-Objekt ausgewertet wird. Dadurch kann sich ein Angreifer mit einem beliebigen Passwort als jeder Benutzer anmelden, dessen Benutzername bekannt oder erratbar ist. Betroffen sind Versionen vor 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3 und 8.0.0; dort ist das Problem behoben. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Auf eine der korrigierten Versionen aktualisieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Rocket.Chat

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Apache Log4j2 Remote Code Execution Vulnerability (Log4Shell) KEV CVE-2021-44228
• Rocket.Chat: NoSQL-Injection ermöglicht Account-Übernahme CVE-2026-29198
• EChat Server – Buffer Overflow mit Remote Code Execution CVE-2018-25221
• Microsoft Exchange – Server-Side Request Forgery (Privilege Escalation) CVE-2026-26137