CVE-2026-34207 in typebot.io
요약
\~에 의해 VulDB • 2026. 05. 27.
TypeBot는 챗봇 빌더 도구입니다. 3.16.0 이전 버전에서 Webhook / HTTP Request 블록에 대한 SSRF 보호 기능은 URL 문자열, 차단된 호스트명 리터럴 및 리터럴 IP 형식만 검증합니다. 요청을 허용하기 전에 DNS를 확인하지 않습니다. 그 결과, 127.0.0.1, 169.254.169.254 또는 RFC1918/프라이빗 주소대로 해석되는 ssrf-repro.example과 같은 호스트명은 검증을 통과하며, 이후 백엔드 HTTP 클라이언트에 의해 가져옵니다. 이를 통해 루프백, 클라우드 메타데이터 및 프라이빗 네트워크 대상에 대한 서버 측 요청 위조(SSRF)가 가능해집니다. 이 문제는 버전 3.16.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.