CVE-2021-22911: NoSQL Injection critica in Rocket.Chat

CVE-2021-22911 identifica una vulnerabilità di improper input sanitization nel Rocket.Chat server versioni 3.11, 3.12 e 3.13. La falla consente attacchi di NoSQL injection senza autenticazione, che potrebbe portare all'esecuzione di codice remoto (RCE) sul server. Chiunque acceda all'istanza Rocket.Chat, anche senza credenziali, può potenzialmente sfruttare questa debolezza per compromettere il sistema.

La vulnerabilità ha un punteggio CVSS di 9,8 (critica). Secondo NVD, la severità è classificata come critical. Un segnale GitHub recente (4 novembre 2026) suggerisce movimento e attenzione rinnovata attorno a questa falla, anche a distanza di 5 anni dalla pubblicazione originale (27 maggio 2021). Sebbene il segnale non contenga descrizione aggiuntiva, la sua presenza merita vigilanza da parte degli amministratori.

Se l'organizzazione utilizza Rocket.Chat nelle versioni 3.11, 3.12 o 3.13, l'aggiornamento immediato è prioritario. Verificare il repository ufficiale di Rocket.Chat per patch e correzioni. Nel frattempo, monitorare l'accesso al servizio, limitare l'esposizione di rete dove possibile e implementare protezioni WAF per mitigare tentativi di NoSQL injection. Tenere traccia di anomalie nei log di applicazione e database per rilevare exploit.