CVE-2026-28445 in typebot.io
요약
\~에 의해 VulDB • 2026. 05. 22.
Typebot는 챗봇 빌더 도구입니다. 버전 3.15.2 및 이전 버전에서 embed 패키지의 RatingButton 구성 요소는 DOMPurify가 이미 의존성으로 포함되어 있고 코드베이스의 다른 곳(예: StreamingBubble.tsx)에서 사용되고 있음에도 불구하고, 사용자 제어 가능한 customIcon.svg 필드를 Solid의 innerHTML 지시문을 통해 아무런 검증 없이 직접 렌더링합니다. 평가 블록은 import sanitizer에 의해 isUnsafe로 플래그가 지정되지 않으며, 빌더 미리보기는 'unsafe-inline'을 허용하는 CSP 하에서 빌더의 자체 오리진(builder.typebot.io)에서 봇을 인라인으로 렌더링합니다. 이로 인해 악의적으로 가져오거나 공동 작업자가 작성한 typebot가 빌더의 인증된 컨텍스트에서 임의의 HTML/JS를 실행할 수 있으며, 미리보기 동안 Script 블록을 보호하는 Web Worker 샌드박스를 우회할 수 있습니다. 이를 통해 세션 하이재킹과 빌더 애플리케이션 내 권한 상승이 가능합니다. 이 문제는 버전 3.16.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.