CVE-2026-48766
Açıklama
TypeBot bir sohbet robotu oluşturma aracıdır. 3.17.0 öncesindeki sürümler, bir çalışma alanının düşük yetkili konuk üyesinin, saldırgan tarafından kontrol edilen bir `baseUrl` ile OpenAI model listeleme yardımcısını çağırarak saklanan OpenAI uyumlu API anahtarlarını sızdırmasına izin verir. Güvenlik açığı içeren yol, seçilen çalışma alanı kimlik bilgisini çözer, gizli anahtar hem `apiKey` parametresinde hem de açık `api-key` başlığında olacak şekilde bir OpenAI istemcisi oluşturur ve ardından giden isteği çağıran tarafından sağlanan URL'ye gönderir. Yetki kontrolü okunabilir herhangi bir çalışma alanı üyesini kabul ettiği ve `listCredentials` konuklara kimlik bilgisi tanımlayıcılarını ifşa ettiği için, bir konuk sunucuyu çalışma alanı sırrını saldırgan altyapısına iletmeye zorlayabilir. Sürüm 3.17.0 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| baptisteArno typebot.io | < 3.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.