CVE-2026-48765
Açıklama
TypeBot bir sohbet robotu oluşturma aracıdır. 3.17.0 öncesindeki sürümler, düşük yetkili bir okuma iş birlikçisinin okunabilir bir bot yapılandırmasından bir çalışma alanı OAuth `credentialsId` değerini çıkarmasına ve ardından saldırgan tarafından kontrol edilen yazılabilir bir `workspaceId` sağlayarak `handleUpdateOAuthCredentials()` aracılığıyla bu kimlik bilgisinin üzerine yazmasına izin verir. Güncelleme yolu yalnızca saldırgan tarafından sağlanan çalışma alanını doğrular ve ardından kimlik bilgisi kaydını yalnızca küresel `id` üzerinden güncellerken aynı zamanda kimlik bilgisinin `workspaceId` değerini de yeniden yazar. Bu durum, çalışma alanları arası OAuth kimlik bilgisi ele geçirilmesine ve yeniden atanmasına olanak tanır. 3.17.0 sürümü sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| baptisteArno typebot.io | < 3.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.