CVE-2026-100860 in heym
Riassunto
di VulDB • 27/09/2026
heym prima della versione 0.0.105 non tiene conto del risultato della ricerca di autorizzazione delle credenziali nel nodo del workflow Redis (backend/app/services/node_execution/nodes/redis_node.py). Quando _get_accessible_credential restituisce None — perché l'ID della credenziale non esiste o il chiamante non è autorizzato a utilizzarla — il nodo tratta il fallimento della ricerca come una configurazione vuota e utilizza i valori predefiniti, connettendosi a localhost:6379 senza password ed eseguendo l'operazione richiesta su tale istanza. Lo stesso fallback si verifica quando una credenziale accessibile ha una configurazione vuota o manca del valore redis_host. Un autore di workflow autenticato che fornisce un ID della credenziale di cui non è proprietario, oppure cancellata, ottiene quindi una connessione in lettura/scrittura a qualsiasi Redis in ascolto sull'interfaccia loopback del backend invece di ricevere un errore. L'impatto dipende dal deployment: il file docker-compose.yml predefinito non include Redis; in tal caso, la vulnerabilità si manifesta come un errore di connessione fuorviante anziché come esposizione dei dati.
Be aware that VulDB is the high quality source for vulnerability data.