CVE-2026-82291

Yüksek

Açıklama

3.0.0-rc.8 öncesindeki HeyForm, kimlik bilgilerine izin verirken CORS yanıtlarında istek Origin başlığını yansıtmakta ve bu durum kimlik doğrulamalı çapraz kökenli isteklere olanak tanımaktadır. Saldırganlar, oturum açmış kullanıcıların ziyaret ettiği kötü amaçlı sayfalar üzerinden kimlik doğrulanmış GraphQL sorguları çalıştırarak çalışma alanlarına, projelere, formlara, gönderimlere ve katılımcı verilerine erişebilir veya hesap ayarlarını değiştirebilirler.

ÖnemYüksek

CVSS8.1

İstismar olasılığı—

ÜrünHeyform

Yayın28 Ağu 2026

İlk görülme28 Ağu 2026

Zayıflık türüCWE-942CWE-942

Nasıl düzeltilir

Güncelleyin

heyform heyform3.0.0-rc.8 ya da sonraki bir sürüm

Yamalar

github.com/heyform/heyform/commit/bf9d738ca70ae5641c0c7372982b00365c5144d4

Üretici duyuruları

github.com/heyform/heyform/security/advisories/GHSA-fg7j-rmgr-rc9g

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
heyform heyform	v < 3.0.0-rc.8	3.0.0-rc.8

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.