CVE-2021-22911
Rocket.Chat सर्वर 3.11, 3.12 और 3.13 में अनुचित इनपुट सैनिटाइज़ेशन भेद्यता मौजूद है, जो अप्रमाणित NoSQL इंजेक्शन का कारण बन सकती है, जिसके परिणामस्वरूप संभावित रूप से RCE हो सकता है।
- प्रकाशित
- 27 मई 2021
- अद्यतन
- 3 अग॰ 2024
- सीएनए असाइन करना
- hackerone
- साक्ष्य देखे गए
- 7 जून 2021
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Rocket.Chat सर्वर 3.11, 3.12 और 3.13 में अनुचित इनपुट सैनिटाइज़ेशन भेद्यता मौजूद है, जो अप्रमाणित NoSQL इंजेक्शन का कारण बन सकती है, जिसके परिणामस्वरूप संभावित रूप से RCE हो सकता है।
स्रोत
rocketchat/CVE-2021-22911
Rocket Chat Pre-Auth Blind NoSQL Injection (CVE-2021-22911)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/rocketchat:3.12.1(rocketchat/CVE-2021-22911/docker-compose.yml:services.rocketchat.image)
- lab image version: mongo:4.0(rocketchat/CVE-2021-22911/docker-compose.yml:services.mongo.image)
- lab image version: mongo:4.0(rocketchat/CVE-2021-22911/docker-compose.yml:services.mongo-init-replica.image)
http/cves/2021/CVE-2021-22911.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।