Vulnerabilidad en Typebot (CVE-2024-30264)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

04/04/2024

Última modificación:

30/01/2026

Descripción

Typebot es un creador de chatbots de código abierto. Un cross-site scripting (XSS) reflejado en la página de inicio de sesión de typebot.io antes de la versión 2.24.0 puede permitir que un atacante se apodere de la cuenta de un usuario. La página de inicio de sesión toma el parámetro `redirectPath` de la URL. Si un usuario hace clic en un enlace donde el parámetro `redirectPath` tiene un esquema javascript, el atacante que creó el enlace puede ejecutar JavaScript arbitrario con los privilegios del usuario. La versión 2.24.0 contiene un parche para este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno