CVE-2026-5205
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W chatwoot do wersji 4.11.2 funkcja Webhooks::Trigger w bibliotece lib/webhooks/trigger.rb nie waliduje argumentu url, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zmusić serwer do wysyłania żądań do wewnętrznych zasobów sieciowych, co może prowadzić do eskalacji uprawnień lub wycieku danych.
Rekomendacja
Należy zaktualizować chatwoot do wersji zawierającej poprawkę lub ręcznie dodać walidację URL w funkcji Webhooks::Trigger.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in chatwoot up to 4.11.2. Affected by this vulnerability is the function Webhooks::Trigger in the library lib/webhooks/trigger.rb of the component Webhook API. Such manipulation of the argument url leads to server-side request forgery. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.