CVE-2026-102615
Açıklama
HeyForm açık kaynaklı bir form oluşturucudur. 3.0.1 sürümünden önce, /api/upload istemci tarafından kontrol edilen multipart file.mimetype değerine göre bir dosyayı kabul ederken HTML dosya adını korumakta ve static/upload sonuçlanan dosyayı text/html olarak ve contentSecurityPolicy: false ile sunmaktadır. Bu nedenle sıradan bir kullanıcı, kurban döndürülen URL'yi açtığında HeyForm kaynağında çalışan aktif bir HTML yükleyebilir. Aynı kökene sahip betik, kurbanın oturumuyla /graphql adresine erişebilir ve bu hesaba tanımlı verileri okuyabilir veya değiştirebilir. Kod ayrıca; formId, openToken ve bir dosya veya imza sorusuna ait olan fieldId aracılığıyla aktif bir genel forma bağlı yükleme isteklerine izin vermektedir, ancak bildirim kimlik doğrulaması yapılmamış bu yolu uçtan uca tam olarak doğrulamamıştır. Bu sorun 3.0.1 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| heyform heyform | < 3.0.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.