CVE-2026-102615
Təsvir
HeyForm açıq mənbəli forma qurucusudur. Versiya 3.0.1-dək /api/upload nöqtəsi, HTML fayl adını saxlayaraq, klient tərəfindən idarə olunan multipart file.mimetype-ə uyğun faylı qəbul edir və static/upload nəticədə yaranan faylı contentSecurityPolicy: false parametrləri ilə text/html kimi təqdim edir. Buna görə də adi istifadəçi, qurban qaytarılan URL-i açdıqda HeyForm mənşəyində (origin) icra olunan aktiv HTML yükləyə bilər. Eyni mənşəli skript qurbanın sessiyası ilə /graphql ünvanına daxil ola və həmin hesab üçün əlçatan olan məlumatları oxuya və ya dəyişdirə bilər. Kod həmçinin formId, openToken və fayl və ya imza sualına aid fieldId vasitəsilə aktiv ictimai formaya bağlı yükləmə sorğularına icazə verir, lakin bildirişdə autentifikasiya olunmamış bu yol tam şəkildə yoxlanılmayıb. Bu problem versiya 3.0.1-də düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| heyform heyform | < 3.0.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.