CVE-2026-48494 in Typebot
要約
〜によって VulDB • 2026年08月11日
TypeBotはチャットボットビルダーツールです。バージョン3.16.1では、任意のtypebotに対する読み取りアクセス権を持つ認証済みユーザーが、承認された`typebotId`および`blockId`と、別のプレビューセッションに関連付けられた外部のプレビュー電話番号を組み合わせることで、異なるtypebotに属するWhatsAppプレビューWebhookセッションを再開できます。WhatsAppテストWebhookハンドラーはまず親型ボットに対して認証を行いますが、その後、プレビューチャットセッションは`wa-preview-{phone}`のみによって解決されます。その結果、攻撃者は他のワークスペースのWhatsAppプレビューセッションに任意のWebhookJSONを注入し、被害者のtypebotへのアクセス権限を持たずに、ドラフト中または未公開の状態にあるフローを進めることができます。この問題はバージョン3.17.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.