Transferência indevida de recursos pelo campo account_id
O campo account_id identifica a organização à qual um recurso pertence no Chatwoot. Nas versões afetadas, um administrador autenticado podia alterar esse vínculo e transferir portais ou canais Twilio para outra organização cadastrada na mesma instalação. A falha também atingia as configurações de automação e as macros. Com o recurso vinculado ao destino indevido, suas informações podiam ficar expostas e suas configurações podiam receber alterações não autorizadas. A organização de origem também podia perder o acesso ao recurso transferido.
Casos de uso afetados
- Você mantém atendimentos de organizações distintas na mesma instalação do Chatwoot. A transferência indevida de um portal pode expor suas informações a outra organização e retirar o acesso da organização de origem.
- As configurações de automação e as macros usadas no seu atendimento também possuem um vínculo definido pelo account_id. Um administrador autenticado podia transferir essas configurações para outra organização, permitindo alterações fora da administração prevista.
- No atendimento conectado ao Twilio, você pode perder o acesso à configuração de um canal transferido indevidamente. O canal fica associado a outra organização no Chatwoot, embora devesse permanecer vinculado à organização que o utilizava.
Confira na sua instância
Confira a versão do Chatwoot em execução e compare com a faixa afetada < 4.9.0. Para procurar associações indevidas, consulte os registros dos portais e dos canais Twilio e compare o account_id de cada recurso com o identificador da organização à qual ele deveria pertencer. Repita a comparação nas configurações de automação e nas macros. Investigue vínculos divergentes e recursos que desapareceram do atendimento original ou apareceram em outra organização sem uma transferência autorizada. Essa revisão procura transferências indevidas, mas a ausência de divergências não comprova que a instalação recebeu a correção. Atualize para uma versão da faixa >= 4.9.0 e confirme a versão efetivamente em execução após a atualização.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| Chatwoot | < 4.9.0 | >= 4.9.0 |
A falha também é identificada como CVE-2026-72719 e exige um administrador autenticado. A versão 4.9.0 contém a correção no projeto, mas você precisa conferir se ela foi aplicada à sua instalação.
