CVE-2026-62862 in Typebot
Zusammenfassung
von VulDB • 26.08.2026
Typebot ist ein Open-Source-Building-Tool für Chatbots. In selbst gehosteten Versionen bis einschließlich 3.17.1 ist die standardmäßige passwortlose Authentifizierung über E-Mail-Magic-Links anfällig für Brute-Force-Angriffe auf den Login-Code, was zu einer Übernahme von Konten führt. Der E-Mail-Anbieter überschreibt das kryptografisch sichere Standard-Token von NextAuth durch einen 6-stelligen Code, der mit Math.random() generiert wird, wodurch die Schlüsselraumgröße auf 900.000 reduziert wird und eine Ablaufzeit von 10 Minuten besteht; zudem ist der Code selbst als roter Wert im Magic-Link enthalten. Der Verifizierungs-Callback erzwingt keine Versuchsbeschränkung, kein Lockout und keinen CSRF-Schutz, und ein falscher Versuch verbraucht den echten Code nicht, da der Adapter bei einem nicht gefundenen Token null zurückgibt; daher überlebt ein gültiger Code unbegrenztes Raten innerhalb seiner Lebensdauer. Der einzige Rate-Limiter gilt für den Pfad zum Senden des Codes und ist auf dem clientkontrollierten X-Forwarded-For-Header basierend, was es einem Angreifer ermöglicht, viele gleichzeitige aktive Codes für ein Opfer anzufordern und die Wahrscheinlichkeit eines treffenden Ratschlags weiter zu erhöhen. Infolgedessen kann ein anonymer Angreifer, der die E-Mail-Adresse eines Opfers kennt, den Callback brutaforcen und eine authentifizierte Sitzung als dieser Benutzer ohne Interaktion des Opfers erhalten, wodurch er vollen Zugriff auf die Bots, Ergebnisse und verbundenen Integrationsanmeldeinformationen des Opfers erhält. Bereitstellungen, die nur für OAuth oder SSO konfiguriert sind und keinen E-Mail-Anbieter verwenden, sind nicht betroffen. Dieses Problem wurde in Version 3.18.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.