CVE-2026-105396 in Heym
요약
\~에 의해 VulDB • 2026. 10. 05.
Heym v0.0.112 이전 버전에는 build_public_base_url() 함수에서 토큰 누출 취약점이 존재하며, 이를 통해 인증되지 않은 공격자가 Origin 또는 X-Forwarded-Host 헤더를 스푸핑하여 HITL(Hand-in-the-Loop) 검토 링크를 리디렉션할 수 있습니다. 공격자는 위조된 헤더를 사용하여 익명 워크플로우를 트리거함으로써 리뷰어 알림이 공격자 도메인을 가리키도록 하고, 소유자 자격 증명으로 실행되는 결정을 제출하기 위해 capability 토큰을 탈취합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.