CVE-2026-45226
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Heym przed wersją 0.0.21 zawiera podatność polegającą na obejściu autoryzacji w wykonywaniu przepływów pracy. Uwierzytelniony atakujący może wykonać dowolne przepływy pracy, odwołując się do identyfikatorów UUID ofiary bez odpowiedniej walidacji dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do wyników przepływów pracy ofiary oraz uruchomić węzły przepływu z niezamierzonymi skutkami ubocznymi, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować Heym do wersji 0.0.21 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Heym
Zobacz wszystkie- CVE-2026-45227Wysokie
Heym przed wersją 0.0.21 zawiera podatność umożliwiającą ucieczkę z piaskownicy w niestandardowym wykonawcy narzędzi Python. Uwierzytelnieni autorzy przepływów pracy mogą ominąć ograniczenia piaskownicy, używając prymitywów introspekcji grafu obiektów.
- CVE-2026-45225Wysokie
Podatność typu path traversal w Heym przed wersją 0.0.21 pozwala uwierzytelnionym użytkownikom na zapisywanie plików w dowolnych lokalizacjach poprzez spreparowaną nazwę pliku zawierającą sekwencje nawigacyjne. Luka występuje w punkcie końcowym przesyłania plików, gdzie parametr filename nie jest odpowiednio walidowany.
Oryginalny opis (angielski, źródło NVD)
Heym before 0.0.21 contains an authorization bypass vulnerability in workflow execution that allows authenticated users to execute arbitrary workflows by referencing victim workflow UUIDs without proper access validation. Attackers can create workflows with execute nodes or agent subWorkflowIds pointing to victim workflow UUIDs to load and execute those workflows under attacker-controlled execution paths, exposing victim workflow outputs and triggering workflow nodes with unintended side effects.