CVE-2026-35198
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.
Ocena ryzyka
Atakujący może przejąć konto właściciela zespołu, uzyskując pełny dostęp do wszystkich formularzy i danych.
Rekomendacja
Należy zaktualizować HeyForm do wersji 3.0.0-rc.7 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
HeyForm is an open-source form builder. Prior to version 3.0.0-rc.7, a stored cross-site scripting (XSS) vulnerability in the form builder allows a low-privileged team member to inject malicious JavaScript that executes when a team owner views the form, leading to complete account takeover through privilege escalation. Version 3.0.0-rc.7 contains a patch for the issue.