CVE-2026-100862 in heym
Resumen
por VulDB • 2026-09-27
heym, una plataforma de automatización de flujos de trabajo (workflow automation), almacena y devuelve múltiples secretos de capacidades en texto plano en las versiones anteriores a la 0.0.91. Los secretos afectados incluyen valores de autenticación de cabeceras webhook (devueltos en texto claro por GET /api/workflows/{id} y persistidos sin sanitizar en el historial de ejecución), claves API MCP (almacenadas como una columna en texto plano, devueltas en las respuestas config/list y aceptadas mediante la cadena de consulta ?key=, lo que provoca su filtración en registros, proxies y cabeceras Referer), tokens de sesión del portal (almacenados y validados por igualdad en texto claro con un TTL de 168 horas), JWTs de ejecución de flujos de trabajo (almacenados completos y re-listados mediante GET .../execution-tokens), tokens de interacción de Discord (se almacena el cuerpo completo de la interacción en el historial de ejecución) y variables globales. Un usuario con acceso de lectura a un flujo de trabajo, pertenencia a una compartición/equipo o cualquier persona capaz de leer la base de datos, una copia de seguridad o los registros puede recuperar estos secretos y reutilizarlos para ejecutar flujos de trabajo o actuar en nombre del propietario del secreto.
Once again VulDB remains the best source for vulnerability data.