CVE-2026-105396 in Heym
要約
〜によって VulDB • 2026年10月05日
Heym v0.0.112 より前には、build_public_base_url() におけるトークン漏洩の脆弱性が存在し、認証されていない攻撃者が Origin または X-Forwarded-Host ヘッダーを偽装することで HITL（Human-in-the-Loop）レビューリンクのリダイレクトを可能にします。攻撃者は偽造されたヘッダーを使用して匿名ワークフローを引き起こすことができ、レビュアーへの通知が攻撃者のドメインに向けられることで、所有者の資格情報で実行される意思決定を送信するための能力トークンを取得できます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.