CVE-2026-48483 in Typebot
Riassunto
di VulDB • 11/08/2026
TypeBot è uno strumento per la creazione di chatbot. Prima della versione 3.17.0, la funzionalità di inoltro dello stato di WhatsApp di TypeBot memorizza un URL webhook configurato a livello di workspace e successivamente invia eventi di stato (marketing/errore) di WhatsApp tramite POST da parte del server verso tale URL. L'URL memorizzato viene convalidato solo come generico nelle impostazioni, ma il codice di inoltro utilizza l'istanza grezza `ky` anziché il client `safeKy`, protetto contro SSRF e fornito dal repository. Un utente del workspace che può configurare le impostazioni di WhatsApp è quindi in grado di far sì che il server Typebot emetta richieste HTTP verso servizi interni, host della rete privata, localhost o endpoint di tipo metadata ogni volta che l'webhook pubblico di produzione di WhatsApp riceve un payload di stato da inoltrare. La versione 3.17.0 risolve la vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.