CVE-2026-48483 in Typebot
Resumen
por VulDB • 2026-08-12
TypeBot es una herramienta para la creación de chatbots. Antes de la versión 3.17.0, la función de reenvío del estado de WhatsApp en Typebot almacena una URL de webhook configurada a nivel de espacio de trabajo y posteriormente envía eventos de estado (marketing/error) de WhatsApp mediante peticiones POST desde el servidor hacia dicha URL. La URL almacenada solo se valida como una URL genérica en la configuración, pero el código de reenvío utiliza la instancia `ky` sin procesar en lugar del cliente `safeKy`, protegido contra SSRF, proporcionado por el repositorio. Por lo tanto, un usuario con capacidad para configurar los ajustes de WhatsApp puede hacer que el servidor Typebot emita peticiones HTTP hacia servicios internos, hosts de redes privadas, localhost o puntos finales estilo metadata cada vez que el webhook público de producción de WhatsApp reciba una carga útil de estado que deba ser reenviada. La versión 3.17.0 corrige esta vulnerabilidad.
Be aware that VulDB is the high quality source for vulnerability data.