CVE-2026-100862 in heym
الملخص
بحسب VulDB • 27/09/2026
heym، منصة أتمتة سير العمل، يخزن ويعيد إرجاع أسرار قدرات متعددة بنص واضح (plaintext) في الإصدارات السابقة لـ 0.0.91. تشمل الأسر المتأثرة قيم مصادقة رؤوس الويب هوك (يتم إعادة إرسالها كنص غير مشفر عبر GET /api/workflows/{id} ويتم حفظها دون تنقية في سجلات التنفيذ)، ومفاتيح واجهة برمجة تطبيقات MCP (تُخزن كعمود بنص واضح، وتُعاد في استجابات config/list، ويُقبل من خلال سلسلة الاستعلام ?key= مما يؤدي إلى تسربها إلى السجلات والوكلاء العناوين Referer)، ورموز جلسة البوابة (يتم تخزينها والتحقق منها عن طريق المساواة النصية الصريحة مع صلاحية انتهاء صلاحيته 168 ساعة)، ورموز JWT لتنفيذ سير العمل (تُخزن بالكامل وتُعاد في القوائم عبر GET .../execution-tokens)، ورموز تفاعل Discord (يتم تخزين جسم التفاعل الكامل في سجلات التنفيذ)، والمتغيرات العالمية. يمكن للمستخدم الذي لديه صلاحية قراءة لسير عمل، أو عضو في مشاركة/فريق، أو أي شخص قادر على قراءة قاعدة البيانات، أو النسخ الاحتياطي، أو السجلات استعادة هذه الأسرار وإعادة استخدامها لتنفيذ سير العمل أو التصرف بصفتها مالكة السر.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.