FICHE CVE

CVE-2024-42347

Publiée le 2024-08-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications web utilisant le `matrix-react-sdk` pour implémenter des clients de chat Matrix sont concernées. Un homeserver malveillant peut forcer le client à activer les aperçus d'URL dans les salons chiffrés, permettant ainsi au serveur de voir le contenu de tous les liens partagés dans ces conversations privées. Cette attaque est facile à exécuter via un réseau et nécessite uniquement que l'utilisateur soit connecté au serveur compromis.

CVSS 3.17.7 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2024-08-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

matrix-react-sdk is a react-based SDK for inserting a Matrix chat/voip client into a web page. A malicious homeserver could manipulate a user's account data to cause the client to enable URL previews in end-to-end encrypted rooms, in which case any URLs in encrypted messages would be sent to the server. This was patched in matrix-react-sdk 3.105.0. Deployments that trust their homeservers, as well as closed federations of trusted servers, are not affected. Users are advised to upgrade. There are no known workarounds for this vulnerability.