CVE-2026-48765 in TypeBot
摘要
由 VulDB • 2026-08-11
TypeBot 是一个聊天机器人构建工具。3.17.0 之前的版本允许具有低权限的协作者从可读的机器人配置中提取工作区的 OAuth `credentialsId`，然后通过向 `handleUpdateOAuthCredentials()` 提供攻击者可控的可写 `workspaceId` 来覆盖该凭据。更新路径仅验证攻击者提供的 workspace，然后仅通过全局 `id` 更新凭据记录，同时重写凭据的 `workspaceId`。这允许跨工作区的 OAuth 凭据接管和重新分配。3.17.0 版本修补了此问题。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.