CVE-2026-44706
Chatwoot: SQL-инъекция в API фильтрации разговоров/контактов через значения пользовательских атрибутов
- Опубликовано
- 26 мая 2026 г.
- Обновлено
- 26 мая 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 22,4 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Chatwoot — это платформа для взаимодействия с клиентами. В версиях с 2.2.0 до 4.11.2 существует уязвимость SQL-инъекции в API фильтрации разговоров и контактов. При фильтрации по пользовательскому атрибуту типа date или number с использованием операторов is_greater_than или is_less_than значения, предоставленные пользователем в поле values полезной нагрузки фильтра, подставляются напрямую в SQL-запрос без параметризации. Любой аутентифицированный пользователь с доступом к аккаунту может использовать это для выполнения произвольного SQL-кода с помощью time-based blind-инъекции. Это затрагивает /api/v1/accounts/{account_id}/conversations/filter, /api/v1/accounts/{account_id}/contacts/filter и /api/v1/accounts/{account_id}/custom_attribute_definitions. Уязвимость устранена в версии 4.11.2.
Источники
- CVE-2026-44706Эксплойт
Chatwoot SQL-инъекция в FilterService
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.