CVE-2026-63428
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
HeyForm przed wersją 3.0.0-rc.9 nie waliduje poprawnie pól `hiddenFields` przesyłanych przez użytkownika. Anonimowy użytkownik może wstrzyknąć dowolne pary klucz-wartość, w tym ładunki XSS, które są następnie przekazywane do webhooków.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe dane do przechowywanych zgłoszeń, które mogą być następnie wykonane w kontekście integracji webhook, prowadząc do kradzieży danych lub dalszych ataków.
Rekomendacja
Należy zaktualizować HeyForm do wersji 3.0.0-rc.9 lub nowszej.
Inne podatności w HeyForm
Zobacz wszystkie- CVE-2026-35198Krytyczne
HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.
- CVE-2026-82291Wysokie
HeyForm przed wersją 3.0.0-rc.8 odzwierciedla nagłówek Origin w odpowiedziach CORS, jednocześnie zezwalając na poświadczenia, co umożliwia żądania międzyorigin z uwierzytelnianiem. Atakujący mogą wykonywać uwierzytelnione zapytania GraphQL ze złośliwych stron odwiedzanych przez zalogowanych użytkowników, aby uzyskać dostęp do obszarów roboczych, projektów, formularzy, zgłoszeń i danych respondentów lub modyfikować ustawienia konta.
- CVE-2026-63429Wysokie
Podatność w HeyForm przed wersją 3.0.0-rc.9: endpoint POST /api/upload nie wymaga uwierzytelnienia ani walidacji kontekstu formularza. Każdy anonimowy użytkownik może przesłać plik (do 10 MB) i otrzymać publiczny URL.
- CVE-2026-45797Średnie
HeyForm to otwartoźródłowy kreator formularzy. Przed wersją 3.0.0-rc.7, endpoint `/api/upload` umożliwia nieuwierzytelnione przesyłanie plików, w tym plików SVG. Przesłane SVG są przechowywane w katalogu zasobów statycznych i serwowane z nagłówkiem `Content-Type: image/svg+xml` przez middleware serve-static Express, co pozwala atakującemu na osiągnięcie trwałego XSS w domenie heyform bez uwierzytelniania. Wersja 3.0.0-rc.7 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
HeyForm is an open-source form builder. Prior to version 3.0.0-rc.9, `completeSubmission` accepts a `hiddenFields: [{id, name, value}]` array from the submitter and stores it verbatim in `submission.hiddenFields`, without validating the supplied `id`/`name` against the form's declared `form.hiddenFields` schema. An anonymous form submitter can therefore inject arbitrary key/value pairs (including XSS payloads, fake authorization metadata, integration-relevant values) into the stored submission. These fields are subsequently forwarded as-is to every webhook integration registered on the form. Version 3.0.0-rc.9 contains a patch for the issue.