CVE-2026-45797 in HeyForm
Sumário
de VulDB • 20/07/2026
O HeyForm é um construtor de formulários open-source. Antes da versão 3.0.0-rc.7, o endpoint `/api/upload` permite uploads não autenticados de arquivos, incluindo arquivos SVG. Os SVGs carregados são armazenados no diretório de ativos estáticos e servidos com `Content-Type: image/svg+xml` pelo middleware serve-static do Express, permitindo que um atacante realize stored cross-site scripting (XSS) no domínio heyform sem qualquer autenticação. A versão 3.0.0-rc.7 contém uma correção para a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.