ChatterMate présente une vulnérabilité Cross-Site Scripting (XSS) stockée via l'exécution d'entrées de chatbot

Cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript malveillant dans les conversations du chatbot. L'attaquant peut exploiter cette faille en fournissant une charge utile <iframe> contenant un URI javascript: comme entrée de chat. Une fois exécuté, ce code peut accéder à des données sensibles côté client, telles que les jetons et les cookies stockés dans localStorage. Cela pourrait permettre à un attaquant de voler des informations d'identification, de modifier le comportement de l'application ou de lancer des attaques contre d'autres utilisateurs. L'impact est amplifié par le fait que ChatterMate est souvent utilisé dans des environnements où la sécurité est primordiale, ce qui rend la compromission des données particulièrement préjudiciable.

Organizations deploying ChatterMate for customer service, internal communication, or any application where user input is processed by the chatbot are at risk. Specifically, deployments using default configurations without input validation are particularly vulnerable. Any environment where sensitive user data is stored in browser local storage is also at increased risk.

• javascript / web:

// Check for suspicious iframes in chatbot input logs
// Look for javascript: URIs within iframe src attributes

• generic web:

# Check access logs for requests containing javascript: URIs
grep 'javascript:' /var/log/apache2/access.log

1. 2026-01-24Disclosure

   disclosure

1. Réservé2026-01-22
2. Publiée2026-01-24
3. Modifiée2026-01-26
4. EPSS mis à jour2026-03-23

La mitigation immédiate consiste à mettre à niveau ChatterMate vers la version 1.0.9 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas possible immédiatement, des mesures temporaires peuvent être prises. Il est recommandé de désactiver temporairement la fonctionnalité de saisie de texte libre du chatbot ou de mettre en œuvre une validation stricte des entrées pour bloquer les charges utiles potentiellement malveillantes. L'utilisation d'un Web Application Firewall (WAF) configuré pour bloquer les scripts XSS peut également aider à atténuer le risque. Après la mise à niveau, vérifiez que la vulnérabilité est bien corrigée en testant l'injection de charges utiles XSS simulées.