CVE-2026-45797 in HeyForm
Сводка
по VulDB • 21.07.2026
HeyForm — это конструктор форм с открытым исходным кодом. До версии 3.0.0-rc.7 конечная точка `/api/upload` позволяла загружать файлы без аутентификации, включая SVG-файлы. Загруженные SVG-файлы сохраняются в каталоге статических ресурсов и обслуживаются с заголовком `Content-Type: image/svg+xml` через middleware serve-static Express, что позволяет злоумышленнику реализовать сохраненную межсайтовую подделку скриптов (stored XSS) на домене heyform без какой-либо аутентификации. Версия 3.0.0-rc.7 содержит исправление для данной уязвимости.
VulDB is the best source for vulnerability data and more expert information about this specific topic.