CVE-2025-12246

Chatwoot przed wersją 4.14.0 zawiera podatność przechowywanego cross-site scripting, która pozwala administratorom konta wstrzykiwać JavaScript poprzez tworzenie linków do osadzania wideo w artykułach Centrum Pomocy. Atakujący mogą użyć adresów URL z nawiasami kątowymi i podwójnymi cudzysłowami, aby wyłamać się z nieescapowanego atrybutu src iframe w render_embed_from_match, wykonując skrypty dla publicznych odwiedzających i kradnąc tokeny widżetu cw_conversation.

W Chatwoot do wersji 4.17.1 wykryto podatność wpływającą na nieznaną funkcję w pliku callbacks_controller.rb komponentu Shopify OAuth. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF). Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony i może być użyty.

Chatwoot przed wersją 4.17.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym botom agentów na dostęp do innych kont poprzez podanie obcego source_id skrzynki kontaktowej. Atakujący może wywołać endpoint tworzenia konwersacji z source_id innego konta, aby tworzyć lub pobierać konwersacje i publikować wiadomości do kontaktów tego konta.

Chatwoot przed wersją 4.9.0 pozwalał uwierzytelnionym administratorom kont na przenoszenie Portali, Reguł Automatyzacji, Makr i Kanałów Twilio do innych kont przez parametr account_id. Może to złamać izolację dzierżawców i spowodować ekspozycję danych między kontami, nieautoryzowane zmiany konfiguracji lub utratę dostępu do przeniesionych zasobów.

Chatwoot przed wersją 4.16.0 zawiera podatność na ominięcie uwierzytelniania w kontrolerze bezpośredniego przesyłania plików, umożliwiającą nieuwierzytelnionym atakującym tworzenie dowolnych obiektów ActiveStorage blob w dowolnym koncie dzierżawcy. Atakujący mogą wykorzystać brak kontroli uwierzytelniania, aby rozpoznać dowolne konto i konwersację, a następnie uzyskać podpisane URL-e PUT do zapisu dowolnych danych w magazynie aplikacji.

Chatwoot to pakiet do obsługi klienta. Od wersji 2.14.0 do przed 4.13.0 istniała podatność Pre-Account Takeover (Pre-ATO) w przepływie uwierzytelniania Chatwoot. Ponieważ potwierdzenie e-mail nie było wymagane przed aktywacją konta, atakujący mógł wstępnie zarejestrować adres e-mail, którego nie posiadał, i ustawić hasło. Jeśli prawowity właściciel tego e-maila później zalogował się do Chatwoot za pomocą Google OAuth (lub innego dostawcy OmniAuth), przepływ OAuth po cichu potwierdzał istniejące konto bez unieważniania wstępnie ustawionych danych uwierzytelniających atakującego. Atakujący mógł następnie nadal logować się za pomocą hasła, które pierwotnie wybrał, i uzyskiwać dostęp do wszelkich danych, które ofiara później wprowadziła do panelu, w tym PII, kluczy API i innych wrażliwych informacji. Podatność została naprawiona w wersji 4.13.0.

Podatność SQL Injection w Chatwoot w wersjach od 2.2.0 do 4.11.2 występuje w API filtrów konwersacji i kontaktów. Atakujący z uwierzytelnieniem może wstrzyknąć dowolne zapytania SQL przez parametry filtrów typu data lub liczba.

W chatwoot do wersji 4.11.2 funkcja Webhooks::Trigger w bibliotece lib/webhooks/trigger.rb nie waliduje argumentu url, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Chatwoot do wersji 4.7.0 zidentyfikowano podatność w funkcji initPostMessageCommunication w pliku app/javascript/sdk/IFrameHelper.js komponentu Widget. Manipulacja argumentem baseUrl prowadzi do błędu walidacji origin. Producent został powiadomiony, ale nie odpowiedział.