PT-2026-64147
CVE-2026-63765
·
تاريخ النشر
2026-07-23
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Chatwoot الأقدم من 4.16.0
الوصف
يوجد ثغرة في التحكم في عمليات التحميل المباشر تسمح بتجاوز المصادقة. تتيح هذه الثغرة للمهاجمين غير المصادق عليهم استكشاف أي حساب أو محادثة لإنشاء كتل ActiveStorage عشوائية داخل أي حساب مستأجر. ومن خلال استغلال عدم وجود عمليات التحقق من المصادقة، يمكن للمهاجمين الحصول على عناوين URL موقعة لعمليات PUT لكتابة بيانات عشوائية مباشرةً إلى الخلفية التخزينية للتطبيق.
التوصيات
التحديث إلى الإصدار 4.16.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾