matrix-appservice-irc events can be crafted to leak parts of targeted messages from other bridged rooms

低 3.7CVE-2023-38700 · GHSA-c7hh-3v6c-fj4q · 04/08/2023 公開 · 17/06/2026 更新

要点

CVE-2023-38700 は matrix irc bridge (matrix), matrix-appservice-irc に影響する深刻度「低」 (CVSS 3.7) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.60%（全脆弱性の 48.7% より高い）。
対処：1.0.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
matrix irc bridge matrix	`< 1.0.1`	`1.0.1`
matrix-appservice-irc npm	`< 1.0.1`	`1.0.1`

概要

Impact

It was possible to craft an event such that it would leak part of a targeted message event from another bridged room. This required knowing an event ID to target.

Patches

Please upgrade to 1.0.1.

Workarounds

You can set the matrixHandler.eventCacheSize config value to 0 to workaround this bug. However, this may impact performance.

Credits

Discovered and reported by Val Lorentz.

For more information

If you have any questions or comments about this advisory email us at [email protected].

NVD の説明

matrix-appservice-irc is a Node.js IRC bridge for Matrix. Prior to version 1.0.1, it was possible to craft an event such that it would leak part of a targeted message event from another bridged room. This required knowing an event ID to target. Version 1.0.1n fixes this issue. As a workaround, set the `matrixHandler.eventCacheSize` config value to `0`. This workaround may impact performance.

参考情報

matrix-org/matrix-appservice-irc security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2023-38700 · ADVISORY
matrix-org/matrix-appservice-irc commit 8bbd2b6 · WEB
matrix-org/matrix-appservice-irc · PACKAGE
matrix-org/matrix-appservice-irc release 1.0.1 · WEB

matrix irc bridge のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

matrix irc bridge

matrix

< 1.0.1

1.0.1

matrix-appservice-irc

npm