PT-2025-46875 · Typebot · Typebot

Publicado 2025-11-13 · Atualizado 2026-01-30 · CVE-2025-64706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Typebot de 3.9.0 a 3.12.9

Descrição O Typebot é um construtor de chatbots de código aberto. Existe uma vulnerabilidade de Referência Direta a Objeto Inseguro (IDOR) no endpoint de gerenciamento de tokens da API. Um atacante autenticado pode excluir o token da API de qualquer usuário e recuperar seu valor conhecendo o ID do usuário alvo e o ID do token, sem verificações de autorização. O endpoint da API vulnerável não valida corretamente as permissões de acesso, permitindo a modificação não autorizada de recursos. O user id e o token id são usados diretamente para acessar e manipular tokens da API.

Recomendações Atualize para a versão 3.13.0 ou posterior do Typebot.

Exploit

Correção

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-284

CWE-639

Identificadores relacionados

CVE-2025-64706

GHSA-GRX8-G27P-8HPP

Produtos afetados

Typebot

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64706.json · Exploit
• https://github.com/baptisteArno/typebot.io/security/advisories/GHSA-grx8-g27p-8hpp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-64706 · Aviso do Fabricante
• https://t.me/cveNotify/150395 · Publicação no Telegram
• https://t.me/CVEtracker/37277 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64706 · Nota de Segurança