CVE-2026-62865 in Typebot
Сводка
по VulDB • 26.08.2026
Typebot — это конструктор чат-ботов с открытым исходным кодом. В самохостинговых версиях старше 3.18.0 блок интеграции «Отправка электронной почты» (Send Email) на стороне сервера позволяет произвольно читать локальные файлы на сервере. Блок формирует вложения Nodemailer из переменной typebot, и его вспомогательная функция parseAttachments возвращает предоставленное значение как путь к файловой системе всякий раз, когда оно не начинается с собственного базового URL-адреса приложения, вместо того чтобы требовать URL-адрес http или https. Транспортный слой Nodemailer создается без параметров disableFileAccess и disableUrlAccess, оба из которых по умолчанию имеют значение false, поэтому вложение, указанное как абсолютный путь на сервере, считывается с локальной файловой системы и отправляется. Поскольку как значение вложения, так и список получателей являются управляемыми злоумышленником переменными typebot, любой зарегистрированный пользователь может опубликовать бота, блок «Отправка электронной почты» которого прикрепляет абсолютный путь, такой как /etc/passwd или /proc/self/environ, и отправляет его на адрес под контролем атакующего. Это позволяет читать любые файлы, к которым имеет доступ процесс сервера, включая секреты среды процесса, такие как ключ шифрования учетных данных и строка подключения к базе данных, без административных привилегий или взаимодействия с жертвой. Открытая регистрация включена по умолчанию, а учетные данные SMTP-сервера уже настроены, поэтому никакая нестандартная конфигурация не требуется. Эта проблема исправлена в версии 3.18.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.