CVE-2026-113355
Açıklama
4.14.0 öncesindeki Chatwoot, hesap yöneticilerinin Yardım Merkezi makalelerinde özel olarak hazırlanmış video yerleştirme bağlantıları aracılığıyla JavaScript enjekte etmesine olanak tanıyan bir saklı siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, render_embed_from_match içerisindeki kaçış karakterleri uygulanmamış iframe src özniteliğinden çıkmak için çift tırnak içeren açılı ayraçlı bağlantı hedefleri kullanarak genel ziyaretçiler için betikler çalıştırabilir ve cw_conversation widget belirteçlerini çalabilirler.
Nasıl düzeltilir
- chatwoot chatwoot4.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chatwoot chatwoot | v < 4.14.0 | 4.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.