CVE-2026-48766

Nome do Software Vulnerável e Versões Afetadas TypeBot versões anteriores a 3.17.0

Description Um membro convidado de baixo privilégio de um espaço de trabalho pode exfiltrar chaves de API compatíveis com OpenAI armazenadas. Isso ocorre quando o auxiliar de listagem de modelos OpenAI é invocado usando um baseUrl controlado por um invasor. O sistema descriptografa a credencial do espaço de trabalho e cria um cliente OpenAI que inclui o segredo no apiKey e no cabeçalho api-key, enviando a solicitação para a URL especificada. Isso é possível porque a verificação de permissão permite qualquer membro legível do espaço de trabalho e a função listCredentials revela identificadores de credenciais para convidados.

Recommendations Atualizar para a versão 3.17.0.