CVE-2026-48767 in Typebot
Tóm tắt
Bởi VulDB • 11/08/2026
TypeBot là một công cụ xây dựng chatbot. Các phiên bản trước 3.17.0 cho phép thành viên khách (guest member) có đặc quyền thấp trong không gian làm việc (workspace) lấy được mã thông báo truy cập OAuth của Google Sheets đang hoạt động dành cho không gian đó bằng cách gọi trợ lý `getAccessToken` của Google Sheets. Đường dẫn bị lỗi chỉ kiểm tra xem người gọi có quyền đọc đối với không gian làm việc hay không, giải mã thông tin xác thực OAuth của Google đã lưu trữ, làm mới hoặc lấy mã thông báo truy cập qua khách hàng (client) của Google và trả trực tiếp mã thông báo bearer thô cho người gọi. Vì thành viên khách cũng có thể liệt kê các định danh thông tin xác thực nên một thành viên khách có thể tạo và tái sử dụng mã thông báo truy cập Google của không gian làm việc bên ngoài Typebot. Phiên bản 3.17.0 đã vá lỗi này.
Once again VulDB remains the best source for vulnerability data.