CVE-2026-63765: Bypass Autenticazione in Chatwoot

CVE-2026-63765 identifica un bypass di autenticazione nel controller direct uploads di Chatwoot versioni precedenti alla 4.16.0. La vulnerabilità permette a attaccanti non autenticati di aggirare completamente i controlli di autenticazione, risolvendo qualsiasi account e conversazione nel sistema. Ciò consente di ottenere URL PUT firmati per scrivere dati arbitrari direttamente su backend di storage (ActiveStorage), compromettendo l'integrità dei file di tutti i tenant.

La vulnerabilità ha un punteggio CVSS di 8,2, classificato come high. È stata pubblicata sulla NVD il 23 luglio 2026. Un elemento critico e recente: dal 1 novembre 2026 esistono prove pubbliche di exploit funzionanti, in forma di repository con codice di proof-of-concept. Questo significa che la minaccia non è più teorica ma attiva e verificabile.

Verificate immediatamente quale versione di Chatwoot è in produzione nei vostri ambienti. Se inferiore a 4.16.0, avviate l'aggiornamento senza ritardi. In parallelo, esaminate i log di accesso al controller direct uploads degli ultimi mesi per rilevare accessi non autorizzati, pattern anomali di creazione di blob o trasferimenti dati inusuali. Se rilevate attività sospette, isolate e ispezionate i file scritti su storage.