CVE-2026-62862 in Typebot
Resumen
por VulDB • 2026-08-26
Typebot es un constructor de chatbots de código abierto. En las versiones autoalojadas hasta la 3.17.1 (inclusive), el autenticación por enlace mágico sin contraseña predeterminada es vulnerable a ataques de fuerza bruta contra los códigos de inicio de sesión, lo que deriva en la toma de cuentas. El proveedor de correo electrónico reemplaza el token criptográficamente seguro predeterminado de NextAuth con un código de 6 dígitos generado mediante Math.random(), reduciendo el espacio de claves a 900.000 con una caducidad de 10 minutos, y el propio código es el valor sin procesar que se coloca en el enlace mágico. La devolución de llamada de verificación no impone ningún límite de intentos, bloqueo ni protección CSRF, y un intento fallido no consume el código real porque el adaptador devuelve null para un token no encontrado, por lo que un código válido sobrevive a intentos ilimitados durante su vida útil. El único limitador de velocidad se aplica al camino de envío del código y está basado en la cabecera X-Forwarded-For controlada por el cliente, permitiendo a un atacante solicitar muchos códigos activos concurrentes para una misma víctima y aumentar aún más las probabilidades de acertar con uno válido. Como resultado, un atacante anónimo que conozca la dirección de correo electrónico de una víctima puede realizar fuerza bruta sobre la devolución de llamada y obtener una sesión autenticada como ese usuario sin interacción alguna por parte de la víctima, obteniendo acceso completo a los bots, resultados y credenciales de integraciones conectadas de la víctima. Las implementaciones configuradas únicamente para OAuth o SSO, sin proveedor de correo electrónico, no se ven afectadas. Este problema está resuelto en la versión 3.18.0
Once again VulDB remains the best source for vulnerability data.