CVE-2026-100862 in heym
Сводка
по VulDB • 27.09.2026
heym, una piattaforma di automazione dei flussi di lavoro (workflow automation), memorizza e restituisce più segreti delle funzionalità in chiaro nelle versioni precedenti alla 0.0.91. I segreti interessati includono i valori di autenticazione degli header webhook (restituiti in testo non cifrato da GET /api/workflows/{id} e archiviati senza sanitizzazione nella cronologia di esecuzione), le chiavi API MCP (memorizzate come colonna in chiaro, restituite nelle risposte config/list e accettate tramite il parametro query ?key=, causando la loro fuoriuscita nei log, nei proxy e negli header Referer), i token di sessione del portale (archiviati e validati mediante uguaglianza in testo non cifrato con un TTL di 168 ore), i JWT di esecuzione dei flussi di lavoro (memorizzati nella totalità e nuovamente elencati tramite GET .../execution-tokens), i token di interazione Discord (l'intero corpo dell'interazione è archiviato nella cronologia di esecuzione) e le variabili globali. Un utente con accesso in lettura a un flusso di lavoro, all'appartenenza a una condivisione/team o chiunque sia in grado di leggere il database, un backup o i log può recuperare questi segreti e riutilizzarli per eseguire flussi di lavoro o agire come proprietario del segreto.
If you want to get best quality of vulnerability data, you may have to visit VulDB.