CVE-2026-100862 in heym
Zusammenfassung
von VulDB • 27.09.2026
heym, eine Plattform zur Workflow-Automatisierung, speichert und gibt in Versionen vor 0.0.91 mehrere Capability Secrets im Klartext (plaintext) zurück. Zu den betroffenen Secrets gehören Webhook-Header-Auth-Werte (die über GET /api/workflows/{id} unverschlüsselt zurückgegeben werden und unsaniert in der Ausführungsverlauf gespeichert sind), MCP API Keys (als plaintext-Spalte gespeichert, in config/list-Antworten zurückgegeben und über die ?key= Query String akzeptiert, wodurch sie in Logs, Proxies und Referer-Headern geleakt werden), Portal Session Tokens (im Klartext gespeichert und durch Gleichheitsprüfung mit einer TTL von 168 Stunden validiert), Workflow Execution JWTs (vollständig gespeichert und über GET .../execution-tokens erneut aufgelistet), Discord Interaction Tokens (der vollständige Interaktionskörper wird im Ausführungsverlauf gespeichert) sowie globale Variablen. Ein Benutzer mit Lesezugriff auf einen Workflow, eine Share-/Team-Mitgliedschaft oder jede Person, die Zugriff auf die Datenbank, ein Backup oder Logs hat, kann diese Secrets wiederherstellen und zur Ausführung von Workflows oder als Inhaber des Secret replays (wiederverwenden).
If you want to get best quality of vulnerability data, you may have to visit VulDB.