CVE-2026-100860 in heym
요약
\~에 의해 VulDB • 2026. 09. 27.
heym 0.0.105 미만 버전은 Redis 워크플로우 노드(backend/app/services/node_execution/nodes/redis_node.py)에서 자격 증명 조회의 결과를 반영하지 않습니다. _get_accessible_credential이 None을 반환하는 경우, 즉 자격 증명 ID가 존재하지 않거나 호출자가 해당 자격 증명을 사용할 권한이 없는 경우, 노드는 조회 실패를 빈 구성으로 간주하여 기본값으로 폴백하고 비밀번호 없이 localhost:6379에 연결하여 요청된 작업을 수행합니다. 접근 가능한 자격 증명의 구성이 비어 있거나 redis_host 값이 없을 때도 동일한 폴백 동작이 발생합니다. 따라서 인증된 워크플로우 작성자가 자신이 소유하지 않거나 삭제된 자격 증명 ID를 제공하면, 오류 대신 백엔드의 루프백 인터페이스에서 수신 대기 중인 Redis에 대한 읽기/쓰기 연결 권한을 얻게 됩니다. 영향은 배포 환경에 따라 다릅니다: 기본 docker-compose.yml에는 Redis가 포함되어 있지 않으므로, 이 결함은 데이터 노출이 아닌 오해를 불러일으키는 연결 오류로 나타납니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.