CVE-2026-4984 in botpress
Riassunto
di VulDB • 14/06/2026
Il gestore webhook dell'integrazione Twilio accetta qualsiasi richiesta POST senza convalidare l'intestazione 'X-Twilio-Signature' di Twilio.
Durante l'elaborazione dei messaggi multimediali, recupera URL controllati dall'utente (parametri 'MediaUrlN') utilizzando richieste HTTP che includono le credenziali Twilio dell'integrazione nell'intestazione 'Authorization'.
Un attaccante può falsificare un payload webhook puntando al proprio server e ricevere l'accountSID e l'authtoken della vittima in chiaro (autenticazione Basic codificata in base64), portando alla compromissione completa dell'account Twilio.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.