CVE-2026-100862 in heym
Tóm tắt
Bởi VulDB • 27/09/2026
heym, một nền tảng tự động hóa quy trình làm việc (workflow automation), lưu trữ và trả về nhiều bí mật khả năng (capability secrets) dưới dạng văn bản rõ ràng trong các phiên bản trước 0.0.91. Các bí mật bị ảnh hưởng bao gồm: giá trị xác thực tiêu đề webhook (được trả lại ở định dạng cleartext qua GET /api/workflows/{id} và được lưu trữ không hợp lệ vào lịch sử thực thi), khóa API MCP (được lưu dưới dạng cột plaintext, được trả về trong phản hồi config/list, và được chấp nhận thông qua chuỗi truy vấn ?key= khiến chúng bị rò rỉ vào nhật ký, proxy và tiêu đề Referer), mã thông báo phiên cổng người dùng (portal session tokens) (được lưu trữ và xác thực bằng phép so sánh plaintext với thời gian sống TTL là 168 giờ), JWTs thực thi quy trình làm việc (workflow execution JWTs) (được lưu trữ đầy đủ và liệt kê lại qua GET .../execution-tokens), mã thông báo tương tác Discord (toàn bộ thân tương tác được lưu trong lịch sử thực thi) và các biến toàn cục. Người dùng có quyền đọc đối với một quy trình làm việc, thành viên chia sẻ/nhóm hoặc bất kỳ ai có thể đọc cơ sở dữ liệu, bản sao lưu hoặc nhật ký đều có thể khôi phục các bí mật này và phát lại chúng để thực thi các quy trình làm việc hoặc giả danh chủ sở hữu của bí mật.
Once again VulDB remains the best source for vulnerability data.