CVE-2026-48494
Açıklama
TypeBot bir chatbot oluşturma aracıdır. 3.16.1 sürümünde, herhangi bir typebot'a okuma erişimi olan kimliği doğrulanmış bir kullanıcı, yetkili bir `typebotId` ve `blockId` ile başka bir önizleme oturumuna bağlı yabancı bir önizleme telefon numarasını birleştirerek farklı bir typebot'a ait bir WhatsApp önizleme webhook oturumunu sürdürebilir. WhatsApp test-webhook işleyicisi önce üst typebot için yetkilendirme yapar, ancak ardından önizleme sohbet oturumunu yalnızca `wa-preview-{phone}` ile çözer. Sonuç olarak, bir saldırgan kurban typebot'a herhangi bir erişimi olmadan başka bir çalışma alanının WhatsApp önizleme oturumuna rastgele webhook JSON'u enjekte edebilir ve taslak/yayımlanmamış akışını ilerletebilir. 3.17.0 sürümü sorunu giderir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| baptisteArno typebot.io | = 3.16.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.