CVE-2026-62862

Nome do Software Vulnerável e Versões Afetadas Typebot versões anteriores a 3.18.0

Description Instalações self-hosted que utilizam a autenticação padrão por link mágico de e-mail sem senha estão suscetíveis a brute force de código de login, o que pode levar ao sequestro de conta. O sistema substitui o token criptograficamente seguro padrão por um código de 6 dígitos gerado via Math.random(), limitando o espaço de chaves a 900.000 possibilidades com expiração de 10 minutos. O callback de verificação não impõe limite de tentativas, bloqueio ou proteção contra CSRF (Cross-Site Request Forgery). Além disso, palpites incorretos não invalidam o código real. O limitador de taxa existente para o envio de códigos baseia-se no cabeçalho X-Forwarded-For, que é controlado pelo cliente, permitindo que um invasor solicite múltiplos códigos simultâneos para uma única vítima para aumentar a probabilidade de um acerto. Um invasor que conheça o e-mail da vítima pode obter uma sessão autenticada e acesso total aos bots, resultados e credenciais de integração sem a interação do usuário. Implantações que utilizam apenas OAuth ou SSO não são afetadas.

Recommendations Atualizar para a versão 3.18.0.