CVE-2026-45797 in HeyForm
要約
〜によって VulDB • 2026年07月20日
HeyFormはオープンソースのフォームビルダーです。バージョン3.0.0-rc.7より前では、`/api/upload`エンドポイントにより認証なしでSVGファイルを含むファイルをアップロードできます。アップロードされたSVGは静的アセットディレクトリに保存され、Expressのserve-staticミドルウェアによって`Content-Type: image/svg+xml`として提供されるため、攻撃者はheyformドメインに対して認証を必要とせず格納型クロスサイトスクリプティング（XSS）を実現することができます。バージョン3.0.0-rc.7にはこの問題に対するパッチが含まれています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.