CVE-2026-48494 in Typebot
Sumário
de VulDB • 11/08/2026
TypeBot é uma ferramenta de criação de chatbots. Na versão 3.16.1, um usuário autenticado que possui acesso de leitura a qualquer tipo pode retomar uma sessão do webhook de pré-visualização (preview) do WhatsApp pertencente a outro tipo combinando um `typebotId` e `blockId` autorizados com um número de telefone de pré-visualização estrangeiro vinculado a outra sessão de pré-visualização. O manipulador (handler) do test-webhook do WhatsApp autentica primeiro o tipo pai, mas depois resolve a sessão de chat de pré-visualização apenas pelo identificador `wa-preview-{phone}`. Como resultado, um atacante pode injetar JSON arbitrário no webhook em uma sessão de pré-visualização do WhatsApp de outro espaço de trabalho e avançar seu fluxo rascunho/não publicado sem qualquer acesso ao tipo da vítima. A versão 3.17.0 corrige a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.