CVE-2026-32994
Medio¿Qué es CVE-2026-32994?
El punto final /api/v1/autotranslate.translateMessage en las versiones <8.5.0, <8.4.2, <8.3.4, <8.2.4, <8.1.5, <8.0.6, <7.13.8 y <7.10.12 permite a cualquier usuario autenticado recuperar el contenido completo de cualquier mensaje de cualquier sala (grupos privados, mensajes directos, canales) simplemente proporcionando el ID del mensaje de destino. El punto final recupera el mensaje a través de Messages.findOneById(messageId) sin verificación de acceso a la sala (nunca se llama a canAccessRoomIdAsync), y devuelve el objeto IMessage completo, incluido el texto del mensaje, la información del remitente, la identificación de la sala, las marcas de tiempo y el contenido de rebajas.
CVSS Vector Breakdown
CVSS 3.0Exploitable remotely over the network without requiring access to the local system.
Exploit requires specific conditions, timing, or configuration to succeed.
Basic user account required (e.g. standard login without admin rights).
No user interaction required. Exploit runs without any victim action.
Exploiting the vulnerability only affects the vulnerable component itself.
Complete loss of confidentiality. All data on the component may be exposed.
No integrity impact. Data cannot be modified.
No availability impact. Service remains fully operational.
Preguntas frecuentes
CVE-2026-32994 tiene una puntuación CVSS de 5.3/10, clasificada como Medium. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-32994 obtiene 5.3/10 (Medium). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-32994 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.