CVE-2026-48759
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 — wyżej niż 10% wszystkich znanych CVE
Streszczenie
TypeBot to narzędzie do budowy chatbotów, które w wersjach 3.15.2 i wcześniejszych ma podatność na Insecure Direct Object Reference. Umożliwia to uwierzytelnionym użytkownikom modyfikację lub usunięcie szablonów motywów z innych przestrzeni roboczych.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany w szablonach motywów, co może prowadzić do utraty danych lub naruszenia prywatności. Dodatkowo, ujawnienie identyfikatorów szablonów może zwiększyć ryzyko ataków.
Rekomendacja
Zaleca się aktualizację TypeBot do wersji 3.16.0, aby usunąć tę podatność. Należy również przeprowadzić audyt dostępu użytkowników do szablonów motywów.
Oryginalny opis (angielski, źródło NVD)
TypeBot is a chatbot builder tool. Versions 3.15.2 and below have an Insecure Direct Object Reference vulnerability through cross-workspace Theme Template modification and deletion. The handleSaveThemeTemplate and handleDeleteThemeTemplate handlers validate that the authenticated user is a non-guest member of the provided workspaceId, but then operate on themeTemplateId via Prisma queries that do NOT include workspaceId in the WHERE clause. This allows any authenticated user to modify or delete theme templates belonging to any other workspace and may expose Template IDs via shared typebots or network traffic. This issue has been fixed in version 3.16.0.