CVE-2026-63428
Təsvir
HeyForm açıq mənbəli forma qurucusudur. Versiya 3.0.0-rc.9-dan əvvəl `completeSubmission` funksiyası göndərəndən gələn `hiddenFields: [{id, name, value}]` massivini qəbul edir və təqdim olunan `id`/`name` dəyərlərini formanın elan edilmiş `form.hiddenFields` sxeminə qarşı yoxlamadan birbaşa `submission.hiddenFields`-də saxlayır. Buna görə də anonim forma göndərən şəxs saxlanılan göndərişə ixtiyari açar/dəyər cütlükləri (o cümlədən XSS payload-ları, saxta avtorizasiya metadata-sı, inteqrasiya ilə bağlı dəyərlər) yerləşdirə bilər. Bu sahələr daha sonra formaya qeydiyyatdan keçmiş hər bir webhook inteqrasiyasına olduğu kimi ötürülür. Versiya 3.0.0-rc.9 bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| heyform heyform | < 3.0.0-rc.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.