Veille sécuritéFrontend
P4Moyenne
Chatwoot comporte une XSS persistante dans les liens d’intégration vidéo des articles du Help Center : une destination de lien spécialement formée peut sortir de l’attribut iframe src non échappé. Les versions antérieures à 4.14.0 sont affectées ; l’exploitation par un administrateur de compte peut viser les visiteurs publics et exposer des jetons du widget de conversation.
JavaScript
IdentifiantCVE-2026-113355
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.14.0
Source : CVE-2026-113355 — NVD
Analyse technique
La vulnérabilité est liée au rendu de render_embed_from_match dans les articles du Help Center.
Impact, versions et correctif
Événement datéLa fiche CVE/NVD indique une publication le 2026-10-20 à 11:17:19 UTC, soit 13:17:19.997+02:00, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des visiteurs publics et risque d’exposition de jetons de conversation.
Versions affectées< 4.14.0
Version corrigée4.14.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
Publication2026-10-20T13:17:19.997+02:00
Mise à jour2026-10-20T22:06:37.150+02:00
Action recommandée
Mettre à jour Chatwoot vers la version 4.14.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).