PT-2026-42822 · Typebot · Typebot

CVE-2026-39970 · Publicado 2026-05-22 · Atualizado 2026-05-23

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas TypeBot versões anteriores a 3.16.0

Descrição A aplicação contém um problema de Cross-Site Scripting (XSS) armazenado no formulário de upload de foto de perfil no endpoint 'app.typebot.io'. O sistema falha ao sanitizar ou restringir uploads baseados em SVG/XML e os renderiza diretamente. Um invasor pode fazer o upload de um arquivo SVG manipulado contendo JavaScript incorporado para executar código arbitrário nos navegadores das vítimas. Como o payload é armazenado persistentemente na infraestrutura e acessível via link público permanente, isso pode levar ao roubo de sessões ou tokens, assumir o controle de contas e exfiltração de dados sensíveis do usuário.

Recomendações Atualizar para a versão 3.16.0.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-39970

GHSA-JJ87-C343-26VP

Produtos afetados

Typebot

Referências · 6

• 🔥 https://github.com/baptisteArno/typebot.io/security/advisories/GHSA-jj87-c343-26vp · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/39xxx/CVE-2026-39970.json · Exploit
• https://github.com/baptisteArno/typebot.io/releases/tag/v3.16.0 · Nota
• https://twitter.com/vuldb/status/2058283365074407644 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-39970 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39970 · Nota de Segurança