CVE-2026-101050 in Heym
要約
〜によって VulDB • 2026年09月27日
Heym 0.0.53 より前のバージョンでは、credential_id が欠落しているか secret_token が空の場合に、Telegram ウェブフックエンドポイントにおける X-Telegram-Bot-Api-Secret-Token ヘッダーの検証が行われません。認証されていないリモート攻撃者は、偽造された Telegram アップデートを投稿してワークフローをトリガーし、所有者が設定した資格情報を使用して実行され、攻撃者が提供した入力に対してアクションを実行することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.