PT-2026-43348 · Chatwoot · Chatwoot

Tenbbughunters + 1 · Publicado 2026-05-26 · Atualizado 2026-06-05 · CVE-2026-44706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Chatwoot versões 2.2.0 até 4.11.1

Descrição Existe um problema nas APIs de filtro de conversas e contatos onde valores fornecidos pelo usuário no campo values do payload de filtro são interpolados diretamente em consultas SQL sem parametrização ao filtrar por atributos personalizados do tipo data ou número usando os operadores is greater than ou is less than. Isso permite que um usuário autenticado com acesso à conta execute SQL arbitrário via injeção cega baseada em tempo. Os endpoints afetados incluem '/api/v1/accounts/{account id}/conversations/filter', '/api/v1/accounts/{account id}/contacts/filter' e '/api/v1/accounts/{account id}/custom attribute definitions'.

Recomendações Atualizar para a versão 4.11.2.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-44706

Produtos afetados

Chatwoot

Referências · 4

• https://github.com/chatwoot/chatwoot/security/advisories/GHSA-9pgm-75gg-6948 · Nota
• https://twitter.com/HakaiOffsec/status/2062990261446119729 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2059337191252255150 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44706 · Nota de Segurança