CVE-2026-102615

Nome do Software Vulnerável e Versões Afetadas HeyForm versões anteriores a 3.0.1

Descrição Existe um problema onde o endpoint '/api/upload' aceita arquivos com base em um multipart file.mimetype controlado pelo cliente, mantendo um nome de arquivo HTML. O endpoint 'static/upload' serve esses arquivos como 'text/html' com a política de segurança de conteúdo desativada. Isso permite que um usuário faça o upload de HTML ativo que é executado na origem do HeyForm quando acessado por uma vítima. Tais scripts podem interagir com o endpoint '/graphql' usando a sessão da vítima para ler ou modificar dados da conta. Além disso, solicitações de upload podem ser possíveis via formulários públicos ativos usando as variáveis formId, openToken e fieldId associadas a perguntas de arquivo ou assinatura.

Recomendações Atualizar para a versão 3.0.1.