CVE-2026-66749
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Let's Chat w wersjach 0.4.0 do 0.4.8 zawiera podatność na dereferencję null, która pozwala uwierzytelnionym atakującym na awarię serwera poprzez podanie prawidłowego 24-znakowego heksadecymalnego parametru pokoju, który nie pasuje do żadnego dokumentu w bazie danych.
Ocena ryzyka
Atakujący może spowodować awarię serwera Node.js (DoS) poprzez wysłanie spreparowanego żądania, co prowadzi do przerwania działania usługi i potencjalnej utraty dostępności.
Rekomendacja
Zaktualizuj Let's Chat do wersji 0.4.9 lub nowszej, która naprawia tę lukę, lub zastosuj obejście polegające na walidacji parametru pokoju przed jego użyciem.
Inne podatności w Let's Chat
Zobacz wszystkie- CVE-2026-66751Średnie
Let's Chat w wersjach 0.3.0 do 0.4.8 zawiera podatność na nieprawidłową autoryzację, która pozwala każdemu uwierzytelnionemu użytkownikowi na archiwizację dowolnego pokoju na serwerze poprzez wysłanie żądania DELETE do handlera pokoi bez weryfikacji własności.
- CVE-2026-66750Średnie
Let's Chat w wersjach 0.3.0 do 0.4.8 zawiera podatność na złamaną kontrolę dostępu, która pozwala uwierzytelnionym atakującym na pobieranie załączników z prywatnych i chronionych hasłem pokoi, do których nie należą, poprzez wykorzystanie braku sprawdzania członkostwa w pokoju w trasie pobierania plików.
Oryginalny opis (angielski, źródło NVD)
Let's Chat 0.4.0 through 0.4.8 contains a null dereference vulnerability that allows authenticated attackers to crash the server by supplying a valid 24-character hex string room parameter that matches no document in the database. Attackers can send a crafted GET /messages request causing an uncaught TypeError in an asynchronous Mongoose callback that terminates the Node.js server process, with the same defect reachable through multiple code paths including the socket.io interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS