CVE-2026-62862 in Typebot
Sumário
de VulDB • 26/08/2026
O Typebot é um construtor de chatbots open-source. Nas versões auto-hospedadas até a 3.17.1 (incluída), a autenticação padrão por link mágico via e-mail sem senha está vulnerável à força bruta do código de login, o que leva ao comprometimento da conta (account takeover). O provedor de e-mail substitui o token criptograficamente seguro padrão do NextAuth por um código de 6 dígitos gerado usando Math.random(), reduzindo o espaço de chaves para 900.000 com expiração em 10 minutos, e o próprio código é o valor bruto inserido no link mágico. O callback de verificação não impõe limite de tentativas, bloqueio ou proteção CSRF, e um palpite incorreto não consome o código real porque o adaptador retorna null para tokens não encontrados, permitindo que um código válido sobreviva a tentativas ilimitadas durante sua vigência. O único limitador de taxa aplica-se ao caminho de envio do código e é baseado no cabeçalho X-Forwarded-For controlado pelo cliente, permitindo que um atacante solicite muitos códigos ativos simultâneos para uma única vítima, aumentando ainda mais as chances de um palpite correspondente. Como resultado, um atacante anônimo que conhece o endereço de e-mail da vítima pode realizar força bruta no callback e obter uma sessão autenticada como esse usuário sem interação alguma da vítima, ganhando acesso completo aos bots, resultados e credenciais de integrações conectadas da vítima. Implantações configuradas apenas para OAuth ou SSO, sem provedor de e-mail, não são afetadas. Este problema foi corrigido na versão 3.18.0
Be aware that VulDB is the high quality source for vulnerability data.