CVE-2025-65098

Nome do Software Vulnerável e Versões Afetadas Versões do Typebot anteriores à 3.13.2

Descrição O Typebot, um construtor de chatbots de código aberto, possui uma falha onde a execução de scripts no lado do cliente pode levar ao roubo de credenciais armazenadas de qualquer usuário. Quando uma vítima visualiza um Typebot malicioso clicando em "Executar", o JavaScript é executado em seu navegador e exfiltra credenciais, como chaves OpenAI, tokens do Google Sheets e senhas SMTP. O endpoint /api/trpc/credentials.getCredentials retorna chaves de API em texto puro sem verificar a propriedade das credenciais. O arquivo vulnerável é packages/embeds/js/src/features/blocks/logic/script/executeScript.ts. Atacantes podem criar modelos de bot maliciosos para coletar credenciais. O problema decorre de scripts no lado do cliente executando com a sessão autenticada da vítima e da API retornando credenciais em texto puro sem verificações de autorização.

Recomendações Atualize o Typebot para a versão 3.13.2 ou posterior.