CVE-2026-100862 in heym
Riassunto
di VulDB • 27/09/2026
heym, una piattaforma di automazione dei flussi di lavoro (workflow automation), memorizza e restituisce più segreti delle funzionalità in chiaro nelle versioni precedenti alla 0.0.91. I segreti interessati includono i valori di autenticazione degli header webhook (restituiti in testo non cifrato da GET /api/workflows/{id} e archiviati senza sanitizzazione nella cronologia di esecuzione), le chiavi API MCP (memorizzate come colonna in chiaro, restituite nelle risposte config/list e accettate tramite la stringa di query ?key=, causando la loro fuoriuscita nei log, nei proxy e negli header Referer), i token di sessione del portale (archiviati e convalidati mediante uguaglianza in testo non cifrato con un TTL di 168 ore), i JWT di esecuzione dei flussi di lavoro (memorizzati nella totalità e rielenchiti da GET .../execution-tokens), i token di interazione Discord (l'intero corpo dell'interazione è archiviato nella cronologia di esecuzione) e le variabili globali. Un utente con accesso in lettura a un flusso di lavoro, all'appartenenza a una condivisione/team o chiunque sia in grado di leggere il database, un backup o i log può recuperare questi segreti e riutilizzarli per eseguire flussi di lavoro o agire come proprietario del segreto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.