CVE-2026-62347

ŚrednieCVSS 5.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Aplikacja Element Call w wersji standalone SPA (od 0.16.0 do 0.20.3) zapisuje w logach parametr zapytania URL o nazwie `password`. Gdy użytkownik zgłasza raport błędu (rageshake), logi te są udostępniane operatorowi aplikacji, co może ujawnić współdzielone hasło szyfrujące rozmowę.

Ocena ryzyka

Ujawnienie hasła szyfrującego rozmowę może naruszyć poufność połączeń konferencyjnych. Ryzyko dotyczy organizacji, których użytkownicy zgłaszają raporty błędów z poziomu aplikacji.

Rekomendacja

Zaktualizuj Element Call do wersji 0.20.3 lub nowszej oraz wstrzymaj przesyłanie raportów błędów i logów debugowania z wersji podatnych. Operator serwera logów powinien dodatkowo usunąć sekrety z wcześniej zebranych rageshake'ów.

Inne podatności w Element Call

CVE-2026-48007Wysokie
Element Call w wersjach od 0.5.17 do 0.19.3 raportuje dane analityczne do serwera PostHog, gdy jest to skonfigurowane przez klucz `posthog` w config.json lub parametry URL `posthogApiHost` i `posthogApiKey`. Kilka pól tych danych (`$initial_person_info`, `$session_entry_url`, `$current_url`) zawiera pełny URL odwiedzonej strony, w tym fragment. Użytkownicy samodzielnej instancji SPA, takiej jak https://call.element.io, mogli zgłosić pełne URL-e niektórych połączeń, w tym hasła szyfrowania, do skonfigurowanego serwera PostHog.

Oryginalny opis (angielski, źródło NVD)

Element Call is a native Matrix video conferencing application. From 0.16.0 until 0.20.3, the standalone Element Call `SPA` logs the `password` URL query parameter. When a user submits an error report, called a rageshake, these logs are shared with the application operator. Users can therefore unintentionally disclose the shared `password` used to encrypt the call, potentially compromising call confidentiality. Avoiding submission of bug reports or debug logs prevents this disclosure path in affected versions. Upgrading does not remove secrets from previously collected `rageshakes`, which require separate cleanup by the log-server operator. This issue is fixed in version 0.20.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS