CVE-2026-62862

Typebot açıq mənbəli çatbot konstruktorudur. 3.17.1 versiyadakı daxil olmaqla bütün özünə aid host edilmiş (self-hosted) versiyalarda, standart şifrəsiz e-poçt "magic-link" autentifikasiyası giriş kodunun brute-force hücumuna qarşı həssasdır ki, bu da hesabın ələ keçirilməsinə səbəb olur. E-poçt provayderi NextAuth-un standart kriptoqrafik təhlükəsiz tokenini Math.random() vasitəsilə yaradılmış 6 rəqəmli kodla əvəz edir; bu, açar sahəsini 900,000-ə endirir və kodun etibarlılıq müddəti 10 dəqiqədir, həmçinin kodun özü magic link-də yerləşdirilmiş xammal dəyərdir. Verifikasiya callback funksiyasında cəhd limiti, bloklama və ya CSRF qoruması tətbiq edilmir və yanlış təxmin real kodu istifadə etmir, çünki adapter tapılmayan token üçün "null" qaytarır, beləliklə, düzgün kod ömrü boyunca limitsiz təxminlərə dözür. Yeganə sürət məhdudiyyəti (rate limiter) yalnız kod göndərmə yoluna tətbiq edilir və klient tərəfindən idarə olunan X-Forwarded-For başlığına əsaslanır, bu da hücumçuya bir qurban üçün çox sayda eyni vaxtda aktiv kodlar tələb etməyə və uyğun təxmin ehtimalını daha da artırmağa imkan verir. Nəticədə, qurbanın e-poçt ünvanını bilən anonim hücumçu callback funksiyasına brute-force hücumu edərək, qurbanın heç bir müdaxiləsi olmadan həmin istifadəçi kimi autentifikasiya olunmuş sessiya əldə edə bilər və qurbanın botlarına, nəticələrinə və qoşulmuş inteqrasiya etibarnamələrinə tam giriş qazanar. Yalnız OAuth və ya SSO üçün konfiqurasiya edilmiş, e-poçt provayderi olmayan qurulumlar bundan təsirlənmir. Bu problem 3.18.0 versiyasında aradan qaldırılıb.