PT-2026-137528
CVE-2026-102615
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
HeyForm الإصدارات السابقة لـ 3.0.1
الوصف
توجد مشكلة حيث يقبل نقطة النهاية '/api/upload' الملفات بناءً على
multipart file.mimetype الذي يتحكم فيه العميل مع الاحتفاظ باسم ملف HTML. بعد ذلك، تقوم نقطة النهاية 'static/upload' بتقديم هذه الملفات كـ 'text/html' مع تعطيل سياسة أمن المحتوى. يسمح هذا للمستخدم بتحميل ملف HTML نشط يتم تنفيذه على أصل HeyForm عندما يفتحه الضحية. يمكن لهذه النصوص البرمجية التفاعل مع نقطة النهاية '/graphql' باستخدام جلسة الضحية لقراءة أو تعديل بيانات الحساب. بالإضافة إلى ذلك، قد تكون طلبات التحميل ممكنة عبر النماذج العامة النشطة باستخدام متغيرات formId و openToken و fieldId المرتبطة بأسئلة الملفات أو التوقيعات.التوصيات
التحديث إلى الإصدار 3.0.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾