- Yama var
- Son 7 gün
- CWE-639
CVE-2026-115725
Chatwoot'ta source_id ile hesaplar arası yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Chatwoot 4.17.0 öncesi sürümlerde, kimliği doğrulanmış temsilci botlarının, yabancı bir contact inbox source_id değeri vererek diğer hesaplara erişmesine izin veren bir yetki atlatma güvenlik açığı bulunmaktadır. Saldırganlar, başka bir hesabın source_id değeriyle conversations create uç noktasını çağırarak o hesabın kişilerine ait konuşmaları oluşturabilir veya görüntüleyebilir ve bu kişilere mesaj gönderebilir.
Kaynaktaki açıklama (İngilizce)
Chatwoot before 4.17.0 contains an authorization bypass vulnerability that allows authenticated agent bots to access other accounts by supplying a foreign contact inbox source_id. Attackers can call the conversations create endpoint with another account's source_id to create or retrieve conversations and post messages to that account's contacts.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| chatwoot | < 4.17.0 | 4.17.0 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/chatwoot/chatwoot/pull/15521 Yama
- github.com/…ommit/2d173978fcd64e6927b407c171095a3a7ceb03dd Yama
- vulncheck.com/…oss-account-authorization-bypass-via-source-id Üçüncü taraf
- github.com/chatwoot/chatwoot/releases/tag/v4.17.0 Diğer
- github.com/…rs/api/v1/accounts/conversations_controller.rb Diğer
- github.com/…woot/blob/v4.16.2/app/policies/inbox_policy.rb Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.