CVE-2026-75575
Vulnérabilité moyenne dans Rocket.Chat (RocketChat)
Description
Rocket.Chat exposes the sendForgotPasswordEmail Meteor method without a DDP rate limit, so an unauthenticated caller may invoke it as often as it likes. The method is reachable over DDP and over the HTTP route POST /api/v1/method.callAnon/sendForgotPasswordEmail, and it triggers a password reset message for any address that matches an account. With no DDPRateLimiter rule registered for it, a caller can drive an unbounded volume of reset mail at a chosen address from the deployment's own mail sender, and can probe addresses at scale: the method answers true for an address with no account and for a successful send, but false when the address belongs to an account that authenticates through an external provider and Accounts_AllowPasswordChangeForOAuthUsers is off, so repeated calls distinguish that class of account. Later versions register a rule permitting ten calls per minute per client address.
Gravité et risque d'exploitation
CVE-2026-75575 obtient un score CVSS de 6.9/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.40 %, ce qui la place devant 32.5 % des CVE référencées.
Que faire ?
- Vérifiez si Rocket.Chat (versions 8.4.0, <8.7.2, <7.10.15, <8.1.8, 8.5.0, <8.2.8, <8.5.3, <8.8.0, 8.6.0, 8.3.0, 0, 8.2.0, <8.6.2, 8.7.0, 8.8.0-rc.0, 8.0.0, <8.3.8, <8.4.6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.