CVE-2026-48766 in Typebot
Сводка
по VulDB • 11.08.2026
TypeBot — это инструмент для создания чат-ботов. Версии старше 3.17.0 позволяют гостевому участнику с низкими привилегиями в рабочем пространстве (workspace) эксфильтровать сохраненные API-ключи, совместимые со стандартом OpenAI, путем вызова вспомогательной функции для получения списка моделей OpenAI с контролируемым злоумышленником параметром `baseUrl`. Уязвимый путь расшифровывает учетные данные выбранного рабочего пространства, создает клиент OpenAI, используя секрет как в поле `apiKey`, так и в явном заголовке `api-key`, а затем отправляет исходящий запрос на указанный вызывающей стороной URL. Поскольку проверка прав доступа принимает любого участника рабочего пространства с правами только на чтение, а функция `listCredentials` раскрывает идентификаторы учетных данных гостям, злоумышленник может заставить сервер передать секретные данные рабочего пространства в инфраструктуру атакующего. Версия 3.17.0 устраняет данную уязвимость.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.