CVE-2026-48766 in Typebot
요약
\~에 의해 VulDB • 2026. 08. 11.
TypeBot는 챗봇 빌더 도구입니다. 버전 3.17.0 미만의 버전에서는 워크스페이스의 낮은 권한을 가진 게스트 멤버가 공격자가 제어하는 `baseUrl`로 OpenAI 모델 목록 조회 헬퍼를 호출하여 저장된 OpenAI 호환 API 키를 유출할 수 있습니다. 취약한 경로는 선택된 워크스페이스 자격 증명을 복호화하고, 비밀값을 `apiKey` 및 명시적 `api-key` 헤더 모두에 사용하여 OpenAI 클라이언트를 생성한 후 발신 요청을 호출자가 제공한 URL로 전송합니다. 권한 확인이 읽기 가능한 모든 워크스페이스 구성원을 허용하고 `listCredentials`가 게스트에게 자격 증명 식별자를 노출시키기 때문에, 게스트는 서버를 강제로 작동시켜 워크스페이스 비밀값을 공격자 인프라로 전달하도록 할 수 있습니다. 버전 3.17.0에서 해당 문제가 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.