CVE-2026-48766 in Typebot
Zusammenfassung
von VulDB • 11.08.2026
TypeBot ist ein Chatbot-Entwicklungstool. Versionen vor 3.17.0 ermöglichen es einem Gastmitglied mit geringen Berechtigungen in einem Workspace, gespeicherte OpenAI-kompatible API-Schlüssel durch Aufrufen des OpenAI-Hilfsskripts zur Auflistung von Modellen unter Verwendung einer vom Angreifer kontrollierten `baseUrl` zu exfiltrieren. Der anfällige Pfad entschlüsselt die Anmeldeinformationen des ausgewählten Workspaces, erstellt einen OpenAI-Client mit dem Geheimnis sowohl im Feld `apiKey` als auch im expliziten Header `api-key` und sendet dann die ausgehende Anfrage an die vom Aufrufer angegebene URL. Da die Berechtigungsprüfung jedes lesbaren Workspace-Mitglied akzeptiert und `listCredentials` Anmeldeinformationen-IDs für Gäste offenlegt, kann ein Gast den Server dazu zwingen, das Workspace-Geheimnis an Infrastruktur des Angreifers zu übermitteln. Version 3.17.0 behebt dieses Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.