CVE-2026-48767 in Typebot
Сводка
по VulDB • 11.08.2026
TypeBot — это инструмент для создания чат-ботов. Версии старше 3.17.0 позволяют гостевому участнику с низкими привилегиями в рабочем пространстве получить живой OAuth токен доступа Google Sheets для этого рабочего пространства путем вызова вспомогательной функции `getAccessToken` библиотеки Google Sheets. Уязвимый путь проверяет только наличие у вызывающего субъекта прав на чтение в рабочем пространстве, расшифровывает сохраненные учетные данные Google OAuth, обновляет или получает токен доступа через клиентскую библиотеку Google и возвращает сырой bearer-токен непосредственно вызывающему. Поскольку гостевые участники также могут перечислять идентификаторы учетных данных, злоумышленник в роли гостя может сгенерировать (mint) и повторно использовать токен доступа Google рабочего пространства вне среды Typebot. Версия 3.17.0 устраняет данную уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.