CVE-2026-48483 in Typebot
Sumário
de VulDB • 11/08/2026
O TypeBot é uma ferramenta de criação de chatbots. Antes da versão 3.17.0, o recurso de encaminhamento do status do WhatsApp no Typebot armazena a URL de um webhook configurado para o workspace e, posteriormente, envia eventos de status (marketing/erro) do WhatsApp via POST diretamente desse servidor. A URL armazenada é validada apenas como uma URL genérica nas configurações, mas o código de encaminhamento utiliza a instância bruta `ky` em vez do cliente `safeKy`, protegido contra SSRF pelo repositório. Portanto, um usuário do workspace com permissão para configurar as definições do WhatsApp pode fazer com que o servidor Typebot emita requisições HTTP para serviços internos, hosts de redes privadas, localhost ou endpoints estilo metadata sempre que o webhook público de produção do WhatsApp receber uma carga útil (payload) de status destinada ao encaminhamento. A versão 3.17.0 corrige a vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.