CVE-2026-44706
उच्चप्रकाशित
Chatwoot: कस्टम एट्रिब्यूट वैल्यू के माध्यम से कन्वर्सेशन/कॉन्टैक्ट फ़िल्टर API में SQL इंजेक्शन
- प्रकाशित
- 26 मई 2026
- अद्यतन
- 26 मई 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
8.5/ 10उच्च
Chatwoot: कस्टम एट्रिब्यूट वैल्यू के माध्यम से कन्वर्सेशन/कॉन्टैक्ट फ़िल्टर API में SQL इंजेक्शन
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:Nकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Chatwoot एक ग्राहक सहभागिता सूट है। 2.2.0 से 4.11.2 से पहले के संस्करणों में, conversation और contact फ़िल्टर APIs में एक SQL इंजेक्शन भेद्यता मौजूद है। date या number प्रकार की कस्टम विशेषता द्वारा is_greater_than या is_less_than ऑपरेटरों का उपयोग करके फ़िल्टर करते समय, फ़िल्टर पेलोड के values फ़ील्ड में उपयोगकर्ता-आपूर्ति किए गए मानों को पैरामीटराइज़ेशन के बिना सीधे SQL क्वेरी में इंटरपोलेट किया जाता है। किसी खाते तक पहुँच रखने वाला कोई भी प्रमाणित उपयोगकर्ता समय-आधारित ब्लाइंड इंजेक्शन के माध्यम से मनमाना SQL निष्पादित करने के लिए इसका शोषण कर सकता है। यह /api/v1/accounts/{account_id}/conversations/filter, /api/v1/accounts/{account_id}/contacts/filter, और /api/v1/accounts/{account_id}/custom_attribute_definitions को प्रभावित करता है। यह भेद्यता 4.11.2 में ठीक कर दी गई है।
FilterService में Chatwoot SQL injection
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।