Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en typebot.io de baptisteArno (CVE-2026-39969)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-287 Autenticación incorrecta
Fecha de publicación:
22/05/2026
Última modificación:
23/07/2026

Descripción

TypeBot es una herramienta de creación de chatbots. En las versiones 3.16.0 y anteriores, el endpoint del webhook de la API de WhatsApp Cloud (POST /v1/workspaces/{workspaceId}/whatsapp/{credentialsId}/webhook) no verifica la firma HMAC x-hub-signature-256 incluida por Meta en cada entrega de webhook. La URL del webhook expone tanto workspaceId como credentialsId como parámetros de ruta, que se registran en los logs de acceso del servidor web, son visibles en el panel de configuración de webhooks de Meta y potencialmente se comparten al configurar integraciones. Esto permite que cualquier atacante no autenticado envíe mensajes de webhook falsificados para activar flujos de bot, consumir recursos de la API e interactuar con servicios externos utilizando las credenciales del propietario del espacio de trabajo. El problema ha sido solucionado en la versión 3.17.0.

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA

Referencias a soluciones, herramientas e información