CVE-2026-48483
Açıklama
TypeBot bir sohbet robotu oluşturma aracıdır. 3.17.0 sürümünden önce, Typebot'un WhatsApp durum iletme özelliği, çalışma alanında yapılandırılmış bir webhook iletme URL'sini saklar ve daha sonra sunucudan bu URL'ye WhatsApp pazarlama/hata durum olaylarını POST eder. Saklanan URL, ayarlarda yalnızca genel bir URL olarak doğrulanır, ancak iletme kodu, deponun SSRF korumalı `safeKy` istemcisi yerine ham `ky` örneğini kullanır. Bu nedenle, WhatsApp ayarlarını yapılandırabilen bir çalışma alanı kullanıcısı, genel WhatsApp üretim webhook'u iletmesi gereken bir durum yükü aldığında Typebot sunucusunun iç hizmetlere, özel ağ ana makinelerine, localhost'a veya metadata tarzı uç noktalara HTTP istekleri göndermesini sağlayabilir. 3.17.0 sürümü bu sorunu düzeltir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| baptisteArno typebot.io | < 3.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.