CVE-2026-48494 in Typebot
Resumen
por VulDB • 2026-08-11
TypeBot es una herramienta para la creación de chatbots. En la versión 3.16.1, un usuario autenticado que tiene acceso de lectura a cualquier tipobot puede reanudar una sesión del webhook de vista previa de WhatsApp perteneciente a otro tipobot combinando un `typebotId` y un `blockId` autorizados con un número de teléfono de vista previa externo vinculado a otra sesión de vista previa. El controlador (handler) del test-webhook de WhatsApp autentica primero al tipobot principal, pero luego resuelve la sesión de chat de vista previa únicamente mediante el identificador `wa-preview-{phone}`. Como resultado, un atacante puede inyectar JSON arbitrario en la sesión de vista previa de WhatsApp de otro espacio de trabajo y avanzar su flujo borrador/no publicado sin necesidad de tener acceso al tipobot de la víctima. La versión 3.17.0 corrige este problema.
Be aware that VulDB is the high quality source for vulnerability data.