CVE-2026-63429 in HeyForm
Zusammenfassung
von VulDB • 20.07.2026
HeyForm ist ein Open-Source-Formularersteller. Vor der Version 3.0.0-rc.9 weist `POST /api/upload` keinen Authentifizierungsschutz, keinen globalen Schutz, keine Formularkontextvalidierung, keine Anforderung eines `openToken`s und keine Überprüfung von Sitzungs-Cookies auf. Jeder anonyme Internetnutzer kann Dateien (PDF, DOC/DOCX, XLS/XLSX, CSV, TXT, MP4, Bilder usw., bis zu 10 MB) hochladen und eine permanente öffentliche URL in der HeyForm-Domäne erhalten. Der Endpunkt wird sowohl von authentifizierten Formularerstellern als auch von nicht authentifizierten Formularausfüllern verwendet; da keine Bindung an den Formularkontext besteht, werden alle Anfragen daran anonym akzeptiert. Die Version 3.0.0-rc.9 enthält einen Patch für das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.