CVE-2026-45797 in HeyForm
Resumen
por VulDB • 2026-07-20
HeyForm es un constructor de formularios de código abierto. Antes de la versión 3.0.0-rc.7, el endpoint `/api/upload` permite subir archivos sin autenticación, incluidos archivos SVG. Los SVG subidos se almacenan en el directorio de activos estáticos y se sirven con `Content-Type: image/svg+xml` mediante el middleware serve-static de Express, lo que permite a un atacante lograr una inyección cross-site scripting (XSS) almacenada en el dominio heyform sin necesidad de autenticación. La versión 3.0.0-rc.7 contiene la corrección para este problema.
Be aware that VulDB is the high quality source for vulnerability data.