CVE-2026-48767
Açıklama
TypeBot bir sohbet robotu oluşturma aracıdır. 3.17.0 öncesi sürümler, bir çalışma alanının düşük ayrıcalıklı misafir üyesinin, Google Sheets yardımcı işlevi `getAccessToken` çağırarak o çalışma alanı için canlı bir Google Sheets OAuth erişim belirteci elde etmesine izin verir. Savunmasız yol yalnızca çağıranın çalışma alanına okuma erişimi olup olmadığını denetler, depolanan Google OAuth kimlik bilgisinin şifresini çözer, Google istemcisi aracılığıyla erişim belirtecini yeniler veya alır ve ham bearer belirtecini doğrudan çağırana döndürür. Misafir üyeler kimlik bilgisi tanımlayıcılarını da numaralandırabildiğinden, bir misafir çalışma alanının Google erişim belirtecini Typebot dışında üretebilir ve yeniden kullanabilir. 3.17.0 sürümü sorunu düzeltir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| baptisteArno typebot.io | < 3.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.