Vulnerabilidad en chatwoot/chatwoot (CVE-2021-3740)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

15/11/2024

Última modificación:

10/07/2025

Descripción

Existe una vulnerabilidad de fijación de sesión en las versiones de chatwoot/chatwoot anteriores a la 2.4.0. La aplicación no invalida las sesiones existentes en otros dispositivos cuando un usuario cambia su contraseña, lo que permite que las sesiones antiguas persistan. Esto puede provocar un acceso no autorizado si un atacante ha obtenido un token de sesión.

Impacto

Vector 3.x

CVSS:3.1/AV:A/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: CVSS:3.1/AV:A/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Vector de acceso (AV): Red adyacente
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto