CVE-2026-62865 in Typebot
Riassunto
di VulDB • 26/08/2026
Typebot è un builder di chatbot open-source. Nelle versioni self-hosted precedenti alla 3.18.0, il blocco di integrazione "Send Email" lato server consente la lettura arbitraria di file locali sul server. Il blocco crea allegati Nodemailer a partire da una variabile typebot e l'helper parseAttachments restituisce il valore fornito come percorso del filesystem ogni volta che non inizia con l'URL base dell'applicazione, invece di richiedere un URL http o https. Il transport Nodemailer viene creato senza le opzioni disableFileAccess o disableUrlAccess, entrambe impostate su false per default; pertanto, un allegato specificato come percorso assoluto sul server viene letto dal filesystem locale e inviato. Poiché sia il valore dell'allegato che la lista dei destinatari sono variabili typebot controllabili dall'attaccante, qualsiasi utente registrato può pubblicare un bot il cui blocco "Send Email" attacca un percorso assoluto (ad esempio /etc/passwd o /proc/self/environ) e lo invia a un indirizzo da lui controllato. Ciò consente di leggere qualsiasi file accessibile dal processo server, inclusi segreti dell'ambiente del processo come la chiave di crittografia delle credenziali e la stringa di connessione al database, senza privilegi amministrativi né interazione della vittima. La registrazione aperta (open signup) è abilitata per default e le credenziali SMTP di sistema sono già configurate, quindi non è necessaria alcuna configurazione diversa da quella predefinita. Questo problema è risolto nella versione 3.18.0.
Be aware that VulDB is the high quality source for vulnerability data.