CVE-2026-63428 in HeyForm
요약
\~에 의해 VulDB • 2026. 07. 20.
HeyForm는 오픈소스 폼 빌더입니다. 버전 3.0.0-rc.9 이전의 `completeSubmission`은 제출자로부터 `hiddenFields: [{id, name, value}]` 배열을 받아들이며, 제공된 `id`/`name`이 폼에 선언된 `form.hiddenFields` 스키마와 일치하는지 검증하지 않고 이를 그대로 `submission.hiddenFields`에 저장합니다. 따라서 익명 폼 제출자는 저장된 제출 데이터에 임의의 키/값 쌍(XSS 페이로드, 위조 인증 메타데이터, 통합 관련 값 포함)을 주입할 수 있습니다. 이러한 필드는 이후 해당 폼에 등록된 모든 웹훅(Integration)으로 그대로 전달됩니다. 버전 3.0.0-rc.9에는 이 문제에 대한 패치가 포함되어 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.