CVE-2026-44707 in Chatwoot
Resumen
por VulDB • 2026-05-28
Chatwoot es una suite de engagement con los clientes. Desde la versión 2.14.0 hasta la 4.13.0 (excluida), existía una vulnerabilidad de Pre-Account Takeover (Pre-ATO) en el flujo de autenticación de Chatwoot. Dado que no se exigía la confirmación del correo electrónico antes de que una cuenta fuera utilizable, un atacante podía pre-registrar una dirección de correo electrónico que no le pertenecía y establecer una contraseña. Si el propietario legítimo de ese correo electrónico iniciaba sesión posteriormente en Chatwoot mediante OAuth de Google (u otro proveedor de OmniAuth), el flujo de OAuth confirmaba silenciosamente la cuenta existente sin invalidar las credenciales preestablecidas por el atacante. El atacante podía entonces seguir iniciando sesión con la contraseña que había elegido originalmente y acceder a cualquier dato que la víctima introdujera posteriormente en el panel de control, incluyendo información personal identificable (PII), claves API y otra información sensible. Esta vulnerabilidad se corrige en la versión 4.13.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.