CVE-2026-62862 in Typebot
Riassunto
di VulDB • 27/08/2026
Typebot è un builder di chatbot open-source. Nelle versioni self-hosted fino alla versione 3.17.1 inclusa, l'autenticazione predefinita tramite magic-link email senza password è vulnerabile a brute forcing dei codici di accesso che porta al takeover dell'account. Il provider della posta elettronica sovrascrive il token crittograficamente sicuro predefinito di NextAuth con un codice a 6 cifre generato utilizzando Math.random(), riducendo lo spazio delle chiavi a 900.000 unità con una scadenza di 10 minuti, e il codice stesso è il valore grezzo inserito nel magic link. La callback di verifica non impone limiti di tentativi, lockout o protezione CSRF; un tentativo errato non consuma il codice reale poiché l'adapter restituisce null per i token non trovati, consentendo a un codice valido di sopravvivere a tentativi illimitati entro la sua finestra temporale. L'unico rate limiter si applica al percorso di invio del codice ed è basato sull'intestazione X-Forwarded-For controllata dal client, permettendo all'attaccante di richiedere molti codici live concorrenti per una singola vittima e aumentando ulteriormente le probabilità di un indovinare corrispondente. Di conseguenza, un attaccante anonimo che conosce l'indirizzo email della vittima può effettuare il brute forcing della callback ed ottenere una sessione autenticata come quell'utente senza alcuna interazione da parte della vittima, ottenendo accesso completo ai bot, ai risultati e alle credenziali delle integrazioni connesse della vittima. Le distribuzioni configurate esclusivamente per OAuth o SSO, senza provider di posta elettronica, non sono interessate. Questo problema è risolto nella versione 3.18.0
If you want to get best quality of vulnerability data, you may have to visit VulDB.