CVE-2026-45797
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
HeyForm to otwartoźródłowy kreator formularzy. Przed wersją 3.0.0-rc.7, endpoint `/api/upload` umożliwia nieuwierzytelnione przesyłanie plików, w tym plików SVG. Przesłane SVG są przechowywane w katalogu zasobów statycznych i serwowane z nagłówkiem `Content-Type: image/svg+xml` przez middleware serve-static Express, co pozwala atakującemu na osiągnięcie trwałego XSS w domenie heyform bez uwierzytelniania. Wersja 3.0.0-rc.7 zawiera poprawkę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt w przesyłanym pliku SVG, który zostanie wykonany w przeglądarce każdego użytkownika odwiedzającego stronę, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków.
Rekomendacja
Zaktualizuj HeyForm do wersji 3.0.0-rc.7 lub nowszej. Jeśli aktualizacja nie jest możliwa, wyłącz endpoint `/api/upload` lub ogranicz typy dozwolonych plików.
Inne podatności w HeyForm
Zobacz wszystkie- CVE-2026-35198Krytyczne
HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.
- CVE-2026-82291Wysokie
HeyForm przed wersją 3.0.0-rc.8 odzwierciedla nagłówek Origin w odpowiedziach CORS, jednocześnie zezwalając na poświadczenia, co umożliwia żądania międzyorigin z uwierzytelnianiem. Atakujący mogą wykonywać uwierzytelnione zapytania GraphQL ze złośliwych stron odwiedzanych przez zalogowanych użytkowników, aby uzyskać dostęp do obszarów roboczych, projektów, formularzy, zgłoszeń i danych respondentów lub modyfikować ustawienia konta.
- CVE-2026-63429Wysokie
Podatność w HeyForm przed wersją 3.0.0-rc.9: endpoint POST /api/upload nie wymaga uwierzytelnienia ani walidacji kontekstu formularza. Każdy anonimowy użytkownik może przesłać plik (do 10 MB) i otrzymać publiczny URL.
- CVE-2026-63428Średnie
HeyForm przed wersją 3.0.0-rc.9 nie waliduje poprawnie pól `hiddenFields` przesyłanych przez użytkownika. Anonimowy użytkownik może wstrzyknąć dowolne pary klucz-wartość, w tym ładunki XSS, które są następnie przekazywane do webhooków.
Oryginalny opis (angielski, źródło NVD)
HeyForm is an open-source form builder. Prior to version 3.0.0-rc.7, the `/api/upload` endpoint allows unauthenticated file uploads including SVG files. Uploaded SVGs are stored in the static assets directory and served with `Content-Type: image/svg+xml` by Express's serve-static middleware, allowing an attacker to achieve stored cross-site scripting (XSS) on the heyform domain without any authentication. Version 3.0.0-rc.7 contains a patch for the issue.