CVE-2026-100858

Nome do Software Vulnerável e Versões Afetadas heym versões anteriores a 0.0.109

Description Um problema de server-side request forgery (SSRF) existe nos nós de fluxo de trabalho do Slack, Discord e Crawler. Esses nós utilizam um cliente HTTP não protegido para enviar requisições para URLs fornecidas em credenciais criadas pelo usuário através das variáveis webhook url ou flaresolverr url. Isso ignora a guarda de saída SSRF existente utilizada por outros nós. Como a API de credenciais apenas verifica se a URL não está vazia, um usuário registrado pode configurar uma credencial para apontar para endereços internos. Isso permite que o backend acesse endpoints de loopback, privados, link-local ou de metadados de nuvem e retorne o corpo completo da resposta na saída do nó, resultando em um SSRF não cego.

Recommendations Atualize o heym para a versão 0.0.109 ou posterior.