Chatwoot - это набор для привлечения клиентов. С 2.14.0 до 4.13.0 в потоке аутентификации Chatwoot существовала уязвимость до поглощения (P…

Chatwoot - это набор для привлечения клиентов. С 2.14.0 до 4.13.0 в потоке аутентификации Chatwoot существовала уязвимость до поглощения (Pre-ATO). Поскольку подтверждение по электронной почте не было введено до того, как учетная запись стала пригодной для использования, злоумышленник мог предварительно зарегистрировать адрес электронной почты, которым они не владели, и установить пароль. Если законный владелец этого письма позже вошел в Chatwoot, используя Google OAuth (или другого провайдера OmniAuth), поток OAuth молча подтвердил существующую учетную запись, не очистив предварительно установленные учетные данные злоумышленника. Затем злоумышленник мог продолжать входить в систему с паролем, который они первоначально выбрали, и получить доступ к любым данным, которые жертва впоследствии ввела в панель управления, включая PII, API-ключи и другую конфиденциальную информацию. Эта уязвимость фиксируется в 4.13.0.