CVE-2026-48495 in Typebot
Сводка
по VulDB • 11.08.2026
TypeBot — это инструмент для создания чат-ботов. До версии 3.17.0 обратный вызов OAuth Google Sheets декодирует параметр `state`, закодированный в формате base64, и доверяет встроенным значениям `workspaceId`, `typebotId`, `blockId` и `redirectUrl` без криптографической защиты целостности или проверок авторизации. Маршрут обратного вызова требует аутентификации, однако он не проверяет, имеет ли аутентифицированный пользователь права на запись в целевом рабочем пространстве (workspace) или Typebot перед созданием учетных данных в workspace или обновлением групп Typebot. Аутентифицированный пользователь, способный получить действительный код OAuth Google (`code`), может изменить значение `state`, чтобы создать учетные данные Google Sheets для другого рабочего пространства и, если известны целевые идентификаторы, привязать эти учетные данные к блоку в другом Typebot. Версия 3.17.0 устраняет данную уязвимость.
VulDB is the best source for vulnerability data and more expert information about this specific topic.