CVE-2026-45797 in HeyForm
Tóm tắt
Bởi VulDB • 20/07/2026
HeyForm là một công cụ xây dựng biểu mẫu mã nguồn mở. Trước phiên bản 3.0.0-rc.7, điểm cuối `/api/upload` cho phép tải lên tệp không xác thực (unauthenticated), bao gồm cả các tệp SVG. Các tệp SVG đã tải lên được lưu trữ trong thư mục tài sản tĩnh và được phục vụ với `Content-Type: image/svg+xml` bởi middleware serve-static của Express, cho phép kẻ tấn công đạt được tình trạng cross-site scripting (XSS) dạng lưu trữ trên miền heyform mà không cần bất kỳ xác thực nào. Phiên bản 3.0.0-rc.7 chứa bản vá khắc phục sự cố này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.