PT-2025-46903 · Typebot · Typebot

CVE-2025-64709 · Publicado 2025-11-13 · Atualizado 2026-01-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Typebot anteriores à 3.13.1

Descrição O Typebot é um construtor de chatbots de código aberto. Existe uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor (SSRF) na funcionalidade do bloco de webhook do Typebot (componente de Requisição HTTP). Isso permite que usuários autenticados façam requisições HTTP arbitrárias a partir do servidor, incluindo acesso ao Serviço de Metadados de Instância da AWS (IMDS). Ao contornar a proteção do IMDSv2 por meio de injeção de cabeçalho personalizado, os atacantes podem extrair credenciais temporárias do AWS IAM para a função de nó do EKS, potencialmente levando ao comprometimento completo do cluster Kubernetes e da infraestrutura da AWS associada.

Recomendações Atualize o Typebot para a versão 3.13.1 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-64709

GHSA-8GQ9-RW7V-3JPR

Produtos afetados

Typebot

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64709.json · Exploit
• https://github.com/baptisteArno/typebot.io/security/advisories/GHSA-8gq9-rw7v-3jpr · Aviso do Fabricante
• https://t.me/poxek/5676 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-64709 · Aviso do Fabricante
• https://t.me/CVEtracker/37281 · Publicação no Telegram
• https://t.me/cveNotify/150396 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64709 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1989225337696182398 · Publicação no Twitter