Botpress披露内部入侵事件及客户凭证风险

事件经过

Botpress于2026年11月6日披露，一名入侵者利用内部身份验证代理的一个漏洞，以及一名员工的API（即一款软件用来与另一款软件通信的接口）凭证，读取了16个客户工作区中的机器人配置。身份验证漏洞先于工作区访问发生：2026年10月12日，有人开始探测保护多个内部工具的身份验证代理。调查未发现任何员工的身份提供商账户遭到入侵的证据。另外，有人利用部分集成的设置流程中的弱点，在另外两个客户工作区中各修改了一项集成的设置，总计在两个额外的工作区中修改了集成设置。这些配置可能包含第三方凭证。Botpress登录验证中的一个缺陷，使攻击者能够以看似属于Botpress员工的会话进入系统。从2026年10月13日至10月21日，攻击者可以访问这些工具以及部分相连系统，并利用这段时间了解Botpress系统的运作方式。这一访问权限使其能够查看客户账户信息和内部数据，包括与员工API凭证相关的数据。2026年10月21日，UTC时间07:44至08:23之间，攻击者使用该员工的API凭证及其管理员权限，读取了16个工作区的配置。该员工是这些客户工作区的成员，并在其中拥有管理员权限。