Broken access control on apps
访问控制 / 访问控制缺陷（通用） / #491892
该报告还没有中文解读。
原文摘录
摘自原文（1273 字符中的一小部分）
The user without administrative privileges can upload and install any Application into the rocket.chat As ID of application is controlled in the app.json file (which is controlled by uploader) user can also activate the app.
原文中的代码
http://<rocket-chat.link>>/admin/app/install
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Rocket.Chat 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @theappsec · 版权归作者与 Rocket.Chat 所有