CVE-2026-44707
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Chatwoot to pakiet do obsługi klienta. Od wersji 2.14.0 do przed 4.13.0 istniała podatność Pre-Account Takeover (Pre-ATO) w przepływie uwierzytelniania Chatwoot. Ponieważ potwierdzenie e-mail nie było wymagane przed aktywacją konta, atakujący mógł wstępnie zarejestrować adres e-mail, którego nie posiadał, i ustawić hasło. Jeśli prawowity właściciel tego e-maila później zalogował się do Chatwoot za pomocą Google OAuth (lub innego dostawcy OmniAuth), przepływ OAuth po cichu potwierdzał istniejące konto bez unieważniania wstępnie ustawionych danych uwierzytelniających atakującego. Atakujący mógł następnie nadal logować się za pomocą hasła, które pierwotnie wybrał, i uzyskiwać dostęp do wszelkich danych, które ofiara później wprowadziła do panelu, w tym PII, kluczy API i innych wrażliwych informacji. Podatność została naprawiona w wersji 4.13.0.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta użytkownika przez atakującego, co może prowadzić do kradzieży danych osobowych, kluczy API i innych poufnych informacji, a także do nieautoryzowanych działań w imieniu ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację Chatwoot do wersji 4.13.0 lub nowszej oraz wymuszenie potwierdzenia e-mail przed aktywacją konta.
Inne podatności w Chatwoot
Zobacz wszystkie- CVE-2026-72719Średnie
Chatwoot przed wersją 4.9.0 pozwalał uwierzytelnionym administratorom kont na przenoszenie Portali, Reguł Automatyzacji, Makr i Kanałów Twilio do innych kont przez parametr account_id. Może to złamać izolację dzierżawców i spowodować ekspozycję danych między kontami, nieautoryzowane zmiany konfiguracji lub utratę dostępu do przeniesionych zasobów.
- CVE-2026-63765Wysokie
Chatwoot przed wersją 4.16.0 zawiera podatność na ominięcie uwierzytelniania w kontrolerze bezpośredniego przesyłania plików, umożliwiającą nieuwierzytelnionym atakującym tworzenie dowolnych obiektów ActiveStorage blob w dowolnym koncie dzierżawcy. Atakujący mogą wykorzystać brak kontroli uwierzytelniania, aby rozpoznać dowolne konto i konwersację, a następnie uzyskać podpisane URL-e PUT do zapisu dowolnych danych w magazynie aplikacji.
- CVE-2026-44706Wysokie
Podatność SQL Injection w Chatwoot w wersjach od 2.2.0 do 4.11.2 występuje w API filtrów konwersacji i kontaktów. Atakujący z uwierzytelnieniem może wstrzyknąć dowolne zapytania SQL przez parametry filtrów typu data lub liczba.
- CVE-2026-5205Średnie
W chatwoot do wersji 4.11.2 funkcja Webhooks::Trigger w bibliotece lib/webhooks/trigger.rb nie waliduje argumentu url, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Chatwoot is a customer engagement suite. From 2.14.0 to before 4.13.0, a Pre-Account Takeover (Pre-ATO) vulnerability existed in Chatwoot's authentication flow. Because email confirmation was not enforced before an account became usable, an attacker could pre-register an email address they did not own and set a password. If the legitimate owner of that email later signed in to Chatwoot using Google OAuth (or another OmniAuth provider), the OAuth flow silently confirmed the existing account without invalidating the attacker's pre-set credentials. The attacker could then continue to log in with the password they had originally chosen and access any data the victim subsequently entered into the dashboard, including PII, API keys, and other sensitive information. This vulnerability is fixed in 4.13.0.