https://alertas.dupin.com.ar/fabricante/chatwoot/Alertas de vulnerabilidades de chatwoot.esSun, 01 Nov 2026 20:01:05 +000010https://alertas.dupin.com.ar/cve/CVE-2026-63765/tg:62619Sun, 01 Nov 2026 20:01:05 +0000Exploit públicoChatwoot anterior a 4.16.0 contiene una vulnerabilidad de evasión de autenticación en el controlador de cargas directas que permite a atacantes no autenticados crear blobs arbitrarios de ActiveStorage en cualquier cuenta de tenant. Los atacantes pueden explotar la falta de controles de autenticación para resolver cualquier cuenta y conversación, y luego obtener URLs PUT firmadas para escribir datos arbitrarios en el backend de almacenamiento de la aplicación.https://alertas.dupin.com.ar/cve/CVE-2026-113355/tg:60081Tue, 20 Oct 2026 11:38:55 +0000VulnerabilidadChatwoot anterior a 4.14.0 permite a administradores de cuenta inyectar JavaScript mediante enlaces de video embebido en artículos del Help Center, lo que deriva en cross-site scripting almacenado. Un atacante puede usar destinos de enlace con corchetes angulares y comillas dobles para salir del atributo src del iframe sin escapar en render_embed_from_match y ejecutar scripts ante visitantes públicos, robando tokens del widget cw_conversation.