CVE-2026-63428
Açıklama
HeyForm, açık kaynaklı bir form oluşturucudur. 3.0.0-rc.9 sürümünden önce, `completeSubmission` gönderici tarafından sağlanan `hiddenFields: [{id, name, value}]` dizisini kabul eder ve sağlanan `id`/`name` değerlerini formun tanımlı `form.hiddenFields` şemasına göre doğrulamadan bunu `submission.hiddenFields` içinde olduğu gibi saklar. Bu nedenle anonim bir form göndericisi, saklanan gönderiye rastgele anahtar/değer çiftleri (XSS yükleri, sahte yetkilendirme meta verileri, entegrasyonla ilgili değerler dahil) enjekte edebilir. Bu alanlar daha sonra formda kayıtlı her webhook entegrasyonuna olduğu gibi iletilir. 3.0.0-rc.9 sürümü bu sorun için bir yama içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| heyform heyform | < 3.0.0-rc.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.