CVE-2026-100862

Bir iş akışı otomasyon platformu olan heym, 0.0.91 öncesi sürümlerde birden fazla yetenek sırrını düz metin olarak saklar ve döndürür. Etkilenen sırlar arasında; webhook header-auth değerleri (GET /api/workflows/{id} tarafından açık metin olarak döndürülür ve temizlenmeden yürütme geçmişine kaydedilir), MCP API anahtarları (düz metin sütunu olarak saklanır, config/list yanıtlarında döndürülür ve ?key= sorgu dizesi üzerinden kabul edildiği için günlüklere, proxy'lere ve Referer başlıklarına sızar), portal oturum belirteçleri (168 saatlik bir TTL ile düz metin eşitliğiyle saklanır ve doğrulanır), iş akışı yürütme JWT'leri (tam olarak saklanır ve GET .../execution-tokens tarafından yeniden listelenir), Discord etkileşim belirteçleri (etkileşimin tüm gövdesi yürütme geçmişinde saklanır) ve küresel değişkenler yer alır. Bir iş akışına okuma erişimi olan, paylaşım/ekip üyeliği bulunan veya veritabanını, yedeğini ya da günlükleri okuyabilen herhangi bir kullanıcı bu sırları geri alabilir ve bunları kullanarak iş akışlarını çalıştırabilir veya sır sahibinin yerine geçebilir.