CVE-2026-66749
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Let's Chat w wersjach 0.4.0 do 0.4.8 zawiera podatność na dereferencję null, która pozwala uwierzytelnionym atakującym na awarię serwera poprzez podanie prawidłowego 24-znakowego heksadecymalnego parametru pokoju, który nie pasuje do żadnego dokumentu w bazie danych.
Ocena ryzyka
Atakujący może spowodować awarię serwera Node.js (DoS) poprzez wysłanie spreparowanego żądania, co prowadzi do przerwania działania usługi i potencjalnej utraty dostępności.
Rekomendacja
Zaktualizuj Let's Chat do wersji 0.4.9 lub nowszej, która naprawia tę lukę, lub zastosuj obejście polegające na walidacji parametru pokoju przed jego użyciem.
Inne podatności w Let's Chat
Zobacz wszystkie- CVE-2026-66751Średnie
Let's Chat w wersjach 0.3.0 do 0.4.8 zawiera podatność na nieprawidłową autoryzację, która pozwala każdemu uwierzytelnionemu użytkownikowi na archiwizację dowolnego pokoju na serwerze poprzez wysłanie żądania DELETE do handlera pokoi bez weryfikacji własności.
- CVE-2026-66750Średnie
Let's Chat w wersjach 0.3.0 do 0.4.8 zawiera podatność na złamaną kontrolę dostępu, która pozwala uwierzytelnionym atakującym na pobieranie załączników z prywatnych i chronionych hasłem pokoi, do których nie należą, poprzez wykorzystanie braku sprawdzania członkostwa w pokoju w trasie pobierania plików.
Oryginalny opis (angielski, źródło NVD)
Let's Chat 0.4.0 through 0.4.8 contains a null dereference vulnerability that allows authenticated attackers to crash the server by supplying a valid 24-character hex string room parameter that matches no document in the database. Attackers can send a crafted GET /messages request causing an uncaught TypeError in an asynchronous Mongoose callback that terminates the Node.js server process, with the same defect reachable through multiple code paths including the socket.io interface.