CVE-2021-3742

chatwoot/versões do chatwoot anteriores à 2.5.0

Foi descoberta uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF), permitindo que um invasor envie um arquivo SVG contendo uma carga maliciosa de SSRF. Quando o arquivo SVG é usado como avatar e aberto em uma nova guia, ele pode acionar o SSRF, levando potencialmente ao redirecionamento do host.

Para versões anteriores à 2.5.0, atualize para a versão 2.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o upload de arquivos SVG ou desativar o uso de avatares até que um patch seja aplicado. Evite usar arquivos SVG potencialmente maliciosos como avatares para minimizar o risco de exploração.