CVE-2026-63428 in HeyForm
Zusammenfassung
von VulDB • 20.07.2026
HeyForm ist ein Open-Source-Formularersteller. Vor der Version 3.0.0-rc.9 akzeptiert `completeSubmission` ein Array vom Typ `hiddenFields: [{id, name, value}]` vom Absender und speichert es unverändert in `submission.hiddenFields`, ohne die angegebenen Werte für `id`/`name` gegen das Schema von `form.hiddenFields` zu validieren. Ein anonymes Formular kann daher beliebige Schlüssel/Wert-Paare (einschließlich XSS-Exploits, gefälschter Autorisierungsmetadaten und integrationsrelevanter Werte) in die gespeicherte Übermittlung einfügen. Diese Felder werden anschließend unverändert an jede auf dem Formular registrierte Webhook-Integration weitergeleitet. Die Version 3.0.0-rc.9 enthält einen Patch für das Problem.
Be aware that VulDB is the high quality source for vulnerability data.