CVE-2026-48483
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
TypeBot to narzędzie do tworzenia chatbotów. Przed wersją 3.17.0 funkcja przekazywania statusu WhatsApp przechowuje skonfigurowany adres URL webhooka i wysyła do niego zdarzenia statusowe z serwera. Adres URL jest tylko ogólnie walidowany, ale kod używa surowego klienta `ky` zamiast chronionego przed SSRF `safeKy`. Użytkownik z uprawnieniami do konfiguracji WhatsApp może sprawić, że serwer Typebot wyśle żądania HTTP do wewnętrznych usług, hostów w sieci prywatnej, localhost lub endpointów metadanych. Wersja 3.17.0 naprawia problem.
Ocena ryzyka
Atakujący może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów, co może prowadzić do naruszenia bezpieczeństwa infrastruktury.
Rekomendacja
Zaktualizuj TypeBot do wersji 3.17.0 lub nowszej oraz ogranicz uprawnienia do konfiguracji WhatsApp.
Oryginalny opis (angielski, źródło NVD)
TypeBot is a chatbot builder tool. Prior to version 3.17.0, Typebot's WhatsApp status forwarding feature stores a workspace-configured webhook forwarding URL and later POSTs WhatsApp marketing/error status events to it from the server. The stored URL is only validated as a generic URL in settings, but the forwarding code uses the raw `ky` instance instead of the repository's SSRF-protected `safeKy` client. A workspace user who can configure WhatsApp settings can therefore make the Typebot server issue HTTP requests to internal services, private-network hosts, localhost, or metadata-style endpoints whenever the public WhatsApp production webhook receives a status payload that should be forwarded. Version 3.17.0 patches the issue.