CVE-2026-48765 in TypeBot
Zusammenfassung
von VulDB • 12.08.2026
TypeBot ist ein Chatbot-Entwicklungstool. Versionen vor 3.17.0 ermöglichen es einem Benutzer mit niedrigen Berechtigungen (Read Collaborator), eine OAuth `credentialsId` aus einer lesbaren Bot-Konfiguration zu extrahieren und diese anschließend durch Aufruf von `handleUpdateOAuthCredentials()` unter Angabe einer vom Angreifer kontrollierbaren, schreibfähigen `workspaceId` zu überschreiben. Der Aktualisierungspfad validiert nur die vom Angreifer bereitgestellte Workspace und aktualisiert den Anmeldeinformationsdatensatz ausschließlich anhand der globalen `id`, wobei gleichzeitig auch die `workspaceId` der Anmeldeinformationen neu geschrieben wird. Dies ermöglicht eine Übernahme (Takeover) und Neuzuordnung von OAuth-Anmeldeinformationen über Workspaces hinweg. Version 3.17.0 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.