CVE-2026-28445 in typebot.io
Сводка
по VulDB • 23.05.2026
Typebot — это инструмент для создания чат-ботов. В версиях 3.15.2 и более ранних компонента RatingButton в пакете embed напрямую рендерит управляемое пользователем поле customIcon.svg через директиву innerHTML библиотеки Solid без какой-либо санитизации, несмотря на то, что DOMPurify уже является зависимостью и используется в других частях кодовой базы (например, в StreamingBubble.tsx). Поскольку блоки рейтинга не помечаются как isUnsafe импортирующим санитайзером, а предварительный просмотр в конструкторе отображает ботов встроенным образом на собственном домене конструктора (builder.typebot.io) в рамках политики безопасности контента (CSP), допускающей 'unsafe-inline', злонамеренно импортированный или созданный соавтором типбот может выполнять произвольный HTML/JS в аутентифицированном контексте конструктора, обходя песочницу Web Worker, которая защищает блоки Script во время предварительного просмотра. Это позволяет перехватывать сеансы и повышать привилегии в приложении конструктора. Данная проблема исправлена в версии 3.16.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.