CVE-2026-62865

Typebot açıq mənbəli çatbot konstruktorudur. 3.18.0 versiyasından əvvəlki özünə aid host edilən (self-hosted) versiyalarda, server tərəfli Send Email inteqrasiya bloku serverdəki lokal faylların ixtiyari şəkildə oxunmasına şərait yaradır. Blok, Typebot dəyişənindən istifadə edərək Nodemailer qoşmalarını formalaşdırır və onun parseAttachments köməkçisi təmin edilən dəyərin http və ya https URL ilə başlamasını tələb etmək əvəzinə, tətbiqin öz baza URL-i ilə başlamadığı hər bir halda həmin dəyəri fayl sistemi yolu kimi qaytarır. Nodemailer transportu, hər ikisinin standart dəyəri false olan disableFileAccess və ya disableUrlAccess parametrləri olmadan yaradılır, buna görə də mütləq server yolu kimi göstərilən qoşma lokal fayl sistemindən oxunur və göndərilir. Həm qoşma dəyəri, həm də alıcı siyahısı hücumçunun idarə edə bildiyi Typebot dəyişənləri olduğu üçün, hər hansı qeydiyyatdan keçmiş istifadəçi /etc/passwd və ya /proc/self/environ kimi mütləq yolun əlavə edildiyi və özünün nəzarət etdiyi ünvana göndərildiyi bir bot paylaşa bilər. Bu, inzibati imtiyazlar və ya qurbanın qarşılıqlı əlaqəsi olmadan, server prosesinin daxil ola bildiyi istənilən faylın, o cümlədən kimlik məlumatlarının şifrələnmə açarı və verilənlər bazası bağlantı sətiri kimi proses mühiti gizli məlumatlarının oxunmasını mümkün edir. Açıq qeydiyyat standart olaraq aktivdir və sistemin SMTP kimlik məlumatları artıq konfiqurasiya edilib, buna görə də heç bir qeyri-standart konfiqurasiya tələb olunmur. Bu problem 3.18.0 versiyasında düzəldilmişdir.