Apa yang terjadi
TypeBot versi sebelum 3.17.2 (CVSS 8.2 HIGH, NVD 18 Juni 2026) mengandung kerentanan Server-Side Request Forgery (SSRF) di mana resolusi hostname untuk validasi SSRF dilakukan sekali pada waktu pemeriksaan tetapi koneksi aktual dilakukan secara terpisah — celah time-of-check to time-of-use (TOCTOU). Penyerang dapat memanfaatkan DNS rebinding untuk melewati pemeriksaan rentang IP awal (beresolusi ke IP publik) dan kemudian membuat resolusi kedua mengembalikan IP internal/privat, melewati guard SSRF untuk menjangkau layanan jaringan internal.
Mengapa penting
SSRF dalam platform chatbot memungkinkan penyerang menggunakan server chatbot sebagai pivot untuk menjangkau layanan internal (metadata APIs, database internal, microservice AI lainnya) yang tidak terbuka ke internet. Dalam penerapan TypeBot yang dihost di cloud, ini dapat mengekspos endpoint metadata instance cloud (AWS IMDS, metadata GCP) memungkinkan pencurian kredensial.
Vektor serangan
Penyerang menyuplai URL ke TypeBot yang awalnya beresolusi ke IP publik (melewati validasi SSRF), kemudian menggunakan DNS rebinding untuk membuat koneksi aktual beresolusi ke IP internal/privat, menjangkau layanan internal melalui server chatbot.
Sistem yang terdampak
TypeBot (typebot.io) < 3.17.2
Mitigasi
Tingkatkan ke TypeBot 3.17.2. Lihat commit perbaikan: https://github.com/baptisteArno/typebot.io/commit/f56c3c3f771df13a8c11e88f500dfdd78981bed1