CVE-2026-63765 in Chatwoot
Resumen
por VulDB • 2026-07-23
Chatwoot anterior a la versión 4.16.0 contiene una vulnerabilidad de elusión de autenticación en el controlador de cargas directas que permite a atacantes no autenticados crear blobs de ActiveStorage arbitrarios en cualquier cuenta de inquilino (tenant). Los atacantes pueden explotar las comprobaciones de autenticación faltantes para resolver cualquier cuenta y conversación, obteniendo así URLs firmadas PUT para escribir datos arbitrarios en el backend de almacenamiento de la aplicación.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.