CVE-2026-100862 in heym
要約
〜によって VulDB • 2026年09月27日
heym（ワークフロー自動化プラットフォーム）の0.0.91より前のバージョンでは、複数の機能シークレットが平文で保存および返却されます。影響を受けるシークレットには、Webhookヘッダー認証値（GET /api/workflows/{id} でクリアテキストとして返され、サニタイズ処理なしで実行履歴に永続化される）、MCP APIキー（平文本の列として保存され、config/listレスポンスで返却され、?key= クエリ文字列経由でも受け付けられるため、ログ、プロキシ、Refererヘッダーに漏洩する可能性あり）、ポータルセッショントークン（168時間のTTLを持つ平文等値によって保存および検証される）、ワークフロー実行JWT（完全な状態で保存され、GET .../execution-tokens により再リスト化される）、Discordインタラクショントークン（完全なインタラクション本文が実行履歴に保存される）、およびグローバル変数が含まれます。ワークフローへの読み取りアクセス権を持つユーザー、共有/チームメンバーシップを持つ者、またはデータベース、バックアップ、ログを読み取ることができる者は、これらのシークレットを回復し、リプレイしてワークフローを実行したり、シークレットの所有者になりすましたりすることができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.