CVE-2024-0640: chatwoot

csirt@kutim:~/threat-intel/cve/CVE-2024-0640

CVSS 4.8 · Medium EPSS 0,27%

Kerentanan Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') pada chatwoot. Skor CVSS 3.1 4.8 (Medium) menurut NVD.

Deskripsi (NVD)

A stored cross-site scripting (XSS) vulnerability exists in chatwoot/chatwoot versions 3.0.0 to 3.5.1. This vulnerability allows an admin user to inject malicious JavaScript code via the dashboard app settings, which can then be executed by another admin user when they access the affected dashboard app. The issue is fixed in version 3.5.2.

Rincian

Terbit di NVD: 20 Maret 2025
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 4.8 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
EPSS (30 hari): 0,27% peluang dieksploitasi; lebih tinggi dari 17,6% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
chatwoot	chatwoot	Semua versi sebelum 3.5.2

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/chatwoot/chatwoot/commit/e39c14460b860d5e3d23d989dd6af48404ad1bb4 patch
https://huntr.com/bounties/08b3bebf-ce3c-4416-b75e-1927ba61de85 exploit · issue tracking · patch · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.