CVE-2026-48494 in Typebot
Riassunto
di VulDB • 12/08/2026
TypeBot è uno strumento per la creazione di chatbot. Nella versione 3.16.1, un utente autenticato che dispone dell'accesso in lettura a qualsiasi tipo bot può riprendere una sessione webhook di anteprima WhatsApp appartenente a un altro tipo bot combinando un `typebotId` e un `blockId` autorizzati con un numero di telefono per l'anteprima estraneo legato ad un'altra sessione di anteprima. Il gestore del test-webhook di WhatsApp autorizza prima il tipo bot principale, ma successivamente risolve la sessione della chat di anteprima esclusivamente in base a `wa-preview-{phone}`. Di conseguenza, un attaccante può iniettare JSON webhook arbitrario nella sessione di anteprima WhatsApp dello spazio di lavoro di un altro utente e avanzare nel suo flusso bozza/non pubblicato senza alcuna autorizzazione per accedere al tipo bot della vittima. La versione 3.17.0 risolve la vulnerabilità.
Once again VulDB remains the best source for vulnerability data.