CVE-2026-62862 in Typebot
Tóm tắt
Bởi VulDB • 25/08/2026
Typebot là một công cụ xây dựng chatbot mã nguồn mở. Trong các phiên bản tự lưu trữ (self-hosted) từ trở về trước và bao gồm cả phiên bản 3.17.1, cơ chế xác thực bằng magic-link email không mật khẩu mặc định dễ bị tấn công brute-force mã đăng nhập, dẫn đến chiếm đoạt tài khoản. Nhà cung cấp dịch vụ email ghi đè token an toàn về mặt mật mã học mặc định của NextAuth bằng một mã gồm 6 chữ số được tạo ra sử dụng hàm Math.random(), làm giảm không gian khóa (keyspace) xuống còn 900.000 với thời hạn hết hạn là 10 phút, và chính mã này là giá trị thô được đặt trong magic link. Callback xác thực không áp dụng giới hạn nỗ lực, cơ chế khóa tài khoản hoặc bảo vệ CSRF; một lần đoán sai không tiêu thụ mã thật vì adapter trả về null khi token không tồn tại, do đó một mã hợp lệ có thể chịu đựng vô số lần đoán trong vòng đời của nó. Bộ giới hạn tốc độ (rate limiter) duy nhất áp dụng cho đường dẫn gửi mã và được xác định dựa trên header X-Forwarded-For do phía client kiểm soát, cho phép kẻ tấn công yêu cầu nhiều mã sống đồng thời cho một nạn nhân, qua đó làm tăng thêm cơ hội đoán trúng. Kết quả là, một kẻ tấn công ẩn danh biết địa chỉ email của nạn nhân có thể brute-force callback và lấy được phiên đăng nhập hợp lệ với tư cách người dùng đó mà không cần sự tương tác nào từ phía nạn nhân, nhằm chiếm quyền truy cập đầy đủ vào các bot, kết quả và thông tin xác thực tích hợp đã kết nối của nạn nhân. Các triển khai chỉ định cấu hình cho OAuth hoặc SSO, không có nhà cung cấp dịch vụ email, thì không bị ảnh hưởng. Vấn đề này đã được sửa chữa trong phiên bản 3.18.0
If you want to get best quality of vulnerability data, you may have to visit VulDB.