CVE-2026-62862 in Typebot
Сводка
по VulDB • 25.08.2026
Typebot — это open-source конструктор чат-ботов. В self-hosted версиях до версии 3.17.1 включительно аутентификация по magic-link через email без пароля уязвима к брутфорсу кода входа, что приводит к захвату учетной записи (account takeover). Провайдер электронной почты заменяет криптографически стойкий токен NextAuth на 6-значный код, сгенерированный с помощью Math.random(), сокращая пространство ключей до 900 000 при времени жизни кода в 10 минут; сам код является «сырым» значением, помещаемым в magic-link. Callback верификации не устанавливает лимит попыток, блокировку или защиту от CSRF, а неверная угаданная комбинация не расходует реальный код, поскольку адаптер возвращает null для ненайденного токена; таким образом, действительный код переживает неограниченное количество попыток в течение своего времени жизни. Единственный rate limiter применяется к пути отправки кода и привязан к заголовку X-Forwarded-For, контролируемому клиентом, что позволяет атакующему запрашивать множество одновременных активных кодов для одной жертвы и дополнительно повышать вероятность успешного угадывания. В результате анонимный атакующий, знающий адрес электронной почты жертвы, может выполнить брутфорс callback-функции и получить аутентифицированную сессию от имени этого пользователя без какого-либо взаимодействия со стороны жертвы, получая полный доступ к чат-ботам жертвы, результатам работы и учетным данным подключенных интеграций. Развертывания, настроенные только на OAuth или SSO (без провайдера электронной почты), не затронуты. Эта проблема исправлена в версии 3.18.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.