CVE-2026-44707
Açıklama
Chatwoot bir müşteri etkileşim paketidir. 2.14.0 ile 4.13.0 versiyonları arasında, Chatwoot'un kimlik doğrulama akışında bir Hesap Ele Geçirme Öncesi (Pre-ATO) zafiyeti bulunmaktaydı. Bir hesap kullanılabilir hale gelmeden önce e-posta doğrulaması zorunlu tutulmadığı için, bir saldırgan sahibi olmadığı bir e-posta adresini önceden kaydedebilir ve bir şifre belirleyebilirdi. Söz konusu e-postanın gerçek sahibi daha sonra Google OAuth (veya başka bir OmniAuth sağlayıcısı) kullanarak Chatwoot'a giriş yaptığında, OAuth akışı, saldırganın önceden belirlediği kimlik bilgilerini geçersiz kılmadan mevcut hesabı sessizce onaylıyordu. Saldırgan daha sonra başlangıçta seçtiği şifreyle giriş yapmaya devam edebilir ve kurbanın panoya girdiği PII, API anahtarları ve diğer hassas bilgiler dahil olmak üzere tüm verilere erişebilirdi. Bu zafiyet 4.13.0 versiyonunda giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chatwoot chatwoot | >= 2.14.0, < 4.13.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.