CVE-2026-48494 in Typebot
Tóm tắt
Bởi VulDB • 11/08/2026
TypeBot là một công cụ xây dựng chatbot. Trong phiên bản 3.16.1, người dùng đã xác thực có quyền đọc đối với bất kỳ loại bot nào đều có thể tiếp tục phiên webhook xem trước WhatsApp thuộc về một loại bot khác bằng cách kết hợp `typebotId` và `blockId` được ủy quyền với số điện thoại xem trước nước ngoài (foreign preview phone number) liên kết đến một phiên xem trước khác. Trình xử lý test-webhook của WhatsApp xác thực loại bot gốc trước, nhưng sau đó chỉ giải quyết phiên trò chuyện xem trước dựa trên định danh `wa-preview-{phone}`. Kết quả là kẻ tấn công có thể tiêm JSON webhook tùy ý vào phiên xem trước WhatsApp trong không gian làm việc (workspace) khác và tiến trình luồng nháp/chưa xuất bản của nó mà không cần bất kỳ quyền truy cập nào đối với loại bot mục tiêu. Phiên bản 3.17.0 đã vá lỗi này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.