CVE-2026-45797
Açıklama
HeyForm açık kaynaklı bir form oluşturucudur. Versiyon 3.0.0-rc.7 öncesinde, `/api/upload` uç noktası SVG dosyaları da dahil olmak üzere kimlik doğrulaması yapılmamış dosya yüklemelerine izin vermektedir. Yüklenen SVG'ler statik varlıklar dizininde saklanmakta ve Express'in serve-static ara yazılımı tarafından `Content-Type: image/svg+xml` ile sunulmaktadır; bu durum, bir saldırganın herhangi bir kimlik doğrulaması olmaksızın heyform alan adında kalıcı siteler arası betik çalıştırma (XSS) gerçekleştirmesine olanak tanır. Versiyon 3.0.0-rc.7, sorun için bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| heyform heyform | < 3.0.0-rc.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.