EXPLOIT PÚBLICODetectada 01 NOV · 17:01

CVE-2026-63765 Evasión de autenticación en el controlador de cargas directas de Chatwoot

Chatwoot anterior a 4.16.0 contiene una vulnerabilidad de evasión de autenticación en el controlador de cargas directas que permite a atacantes no autenticados crear blobs arbitrarios de ActiveStorage en cualquier cuenta de tenant. Los atacantes pueden explotar la falta de controles de autenticación para resolver cualquier cuenta y conversación, y luego obtener URLs PUT firmadas para escribir datos arbitrarios en el backend de almacenamiento de la aplicación.

8.2ALTA

CVSS 3.1

CVSS 4.08.8 · alta
Probabilidad de explotación · EPSS del 09/110,5 % · percentil 41
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

chatwoot
hasta antes de 4.16.0

Qué hacer

Verificá si usás chatwoot y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

n3chik/CVE-2026-63765 PoC exploit for CVE-2026-63765 — Chatwoot < 4.16.0 unauthenticated arbitrary file write via ActiveStorage Direct Upload01 NOV · 17:01

Calculadora CVSS

CVSS 3.1 · 8.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadAlta
DisponibilidadBaja

CVSS 4.0 · 8.8 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Ninguna
Integridad (sistema vulnerable)Alta
Disponibilidad (sistema vulnerable)Baja
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Chatwoot before 4.16.0 contains an authentication bypass vulnerability in the direct uploads controller that allows unauthenticated attackers to create arbitrary ActiveStorage blobs in any tenant account. Attackers can exploit missing authentication checks to resolve any account and conversation, then obtain signed PUT URLs to write arbitrary data to the application's storage backend.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.