CVE-2025-65098
Təsvir
Typebot açıq mənbəli çatbot konstruktorudur. 3.13.2 versiyasından əvvəlki versiyalarda, Typebot-da klient tərəfli skriptin icrası istənilən istifadəçinin bütün saxlanılan etibarnamələrinin oğurlanmasına şərait yaradır. Qurban zərərli typebotu "Run" düyməsini sıxaraq önizlədikdə, onların brauzerində JavaScript icra olunur və OpenAI açarları, Google Sheets tokenləri və SMTP şifrələri kənara sızdırılır. `/api/trpc/credentials.getCredentials` son nöqtəsi (endpoint), etibarnamə mülkiyyətini yoxlamadan API açarlarını açıq mətn formatında qaytarır. 3.13.2 versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- typebot typebot3.13.2 və ya daha yeni versiya
- @typebot.io/js0.9.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| typebot typebot | v < 3.13.2 | 3.13.2 |
| @typebot.io/jsnpm | v < 0.9.15 | 0.9.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.