Rocket.Chat: Nicht authentifiziertes Löschen von Dateien über deleteFileMessage

Beschreibung

Rocket.Chat ist vor den Versionen 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7, 7.13.9 und 7.10.13 anfällig für nicht authentifiziertes Löschen von Dateien. Die Meteor-Methode deleteFileMessage löscht hochgeladene Dateien anhand ihrer ID dauerhaft, ohne eine Authentifizierung zu verlangen. Wird die Methode über eine nicht authentifizierte DDP-WebSocket-Verbindung aufgerufen, liefert Meteor.userId() null zurück, wodurch die Autorisierungsprüfung übersprungen wird. Die Ausführung gelangt dadurch ungehindert zu FileUpload.getStore('Uploads').deleteById(fileID), was die Datei unbedingt aus Storage und Datenbank entfernt. Datei-IDs lassen sich aus öffentlichen Channel-Nachrichten und Download-URLs ermitteln. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Rocket.Chat

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• Typebot – Server-Side Request Forgery über ungeschützten Preview-Chat-Endpunkt CVE-2026-33712
• Rocket.Chat SAML-SSO – Signaturbindung fehlt bei XML-Antworten CVE-2026-58066
• Rocket.Chat: NoSQL-Injection ermöglicht Account-Übernahme CVE-2026-29198