CVE-2026-44706

सारांश

Chatwoot एक ग्राहक सहभागिता सूट है। 2.2.0 से 4.11.2 से पहले के संस्करणों में, conversation और contact फ़िल्टर APIs में एक SQL इंजेक्शन भेद्यता मौजूद है। date या number प्रकार की कस्टम विशेषता द्वारा is_greater_than या is_less_than ऑपरेटरों का उपयोग करके फ़िल्टर करते समय, फ़िल्टर पेलोड के values फ़ील्ड में उपयोगकर्ता-आपूर्ति किए गए मानों को पैरामीटराइज़ेशन के बिना सीधे SQL क्वेरी में इंटरपोलेट किया जाता है। किसी खाते तक पहुँच रखने वाला कोई भी प्रमाणित उपयोगकर्ता समय-आधारित ब्लाइंड इंजेक्शन के माध्यम से मनमाना SQL निष्पादित करने के लिए इसका शोषण कर सकता है। यह /api/v1/accounts/{account_id}/conversations/filter, /api/v1/accounts/{account_id}/contacts/filter, और /api/v1/accounts/{account_id}/custom_attribute_definitions को प्रभावित करता है। यह भेद्यता 4.11.2 में ठीक कर दी गई है।

स्रोत

• CVE-2026-44706एक्सप्लॉइट

  FilterService में Chatwoot SQL injection