CVE-2026-48767 in Typebot
요약
\~에 의해 VulDB • 2026. 08. 11.
TypeBot는 채팅봇 빌더 도구입니다. 버전 3.17.0 미만의 버전에서는 워크스페이스의 권한이 낮은 게스트 멤버가 Google Sheets 헬퍼 `getAccessToken`을 호출하여 해당 워크스페이스에 대한 라이브 Google Sheets OAuth 액세스 토큰을 획득할 수 있습니다. 취약한 경로는 호출자가 워크스페이스 읽기 접근 권한만 있는지 확인하고, 저장된 Google OAuth 자격 증명을 복호화하며, Google 클라이언트를 통해 액세스 토큰을 갱신하거나 검색한 후 원본 Bearer 토큰을 직접 호출자에게 반환합니다. 게스트 멤버도 자격 증명 식별자를 열거할 수 있으므로, 게스트는 Typebot 외부에서 워크스페이스의 Google 액세스 토큰을 생성하고 재사용할 수 있습니다. 버전 3.17.0에서는 해당 문제가 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.