CVE-2026-45797
Təsvir
HeyForm açıq mənbəli forma qurucusudur. 3.0.0-rc.7 versiyasından əvvəl `/api/upload` endpointi SVG faylları da daxil olmaqla autentifikasiya tələb etmədən fayl yükləməyə imkan verir. Yüklənmiş SVG-lər statik aktivlər qovluğunda saxlanılır və Express-in serve-static middleware-i tərəfindən `Content-Type: image/svg+xml` ilə təqdim olunur ki, bu da hücumçuya heç bir autentifikasiya olmadan heyform domenində saxlanılan saytlararası skriptinq (XSS) həyata keçirməyə imkan verir. 3.0.0-rc.7 versiyası bu problem üçün yamaq ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| heyform heyform | < 3.0.0-rc.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.