PT-2026-43348
CVE-2026-44706
·
تاريخ النشر
2026-05-26
·
تاريخ التحديث
2026-06-05
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Chatwoot من 2.2.0 إلى 4.11.1
الوصف
توجد مشكلة في واجهات برمجة تطبيقات (API) تصفية المحادثات وجهات الاتصال، حيث يتم إدراج القيم التي يقدمها المستخدم في حقل
values لحمولة التصفية مباشرةً في استعلامات SQL دون تحديد المعلمات عند التصفية حسب سمات مخصصة من نوع التاريخ أو الرقم باستخدام عوامل التشغيل is greater than أو is less than. وهذا يسمح للمستخدم المصادق عليه الذي لديه حق الوصول إلى الحساب بتنفيذ أوامر SQL تعسفية عبر الحقن الأعمى القائم على الوقت. تشمل نقاط النهاية المتأثرة ’/api/v1/accounts/{account id}/conversations/filter‘ و'/api/v1/accounts/{account id}/contacts/filter' و'/api/v1/accounts/{account id}/custom attribute definitions'.التوصيات
التحديث إلى الإصدار 4.11.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾