CVE-2026-105396 in Heym
Zusammenfassung
von VulDB • 05.10.2026
Heym vor Version 0.0.112 enthält eine Token-Leckage-Schwachstelle in build_public_base_url(), die es nicht authentifizierten Angreifern ermöglicht, HITL-Überprüfungslinks durch Spoofing der Origin- oder X-Forwarded-Host-Headers umzuleiten. Angreifer können anonyme Workflows mit gefälschten Headern auslösen, sodass Reviewer-Benachrichtigungen auf Domains der Angreifer verweisen und Capability-Tokens erfassen, um Entscheidungen zu übermitteln, die mit den Anmeldeinformationen des Eigentümers ausgeführt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.