CVE-2026-63429
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w HeyForm przed wersją 3.0.0-rc.9: endpoint POST /api/upload nie wymaga uwierzytelnienia ani walidacji kontekstu formularza. Każdy anonimowy użytkownik może przesłać plik (do 10 MB) i otrzymać publiczny URL.
Ocena ryzyka
Atakujący mogą przechowywać dowolne pliki na domenie HeyForm, co może być wykorzystane do hostowania złośliwych treści lub wycieku danych.
Rekomendacja
Zaktualizuj HeyForm do wersji 3.0.0-rc.9 lub nowszej, która zawiera poprawkę.
Inne podatności w HeyForm
Zobacz wszystkie- CVE-2026-35198Krytyczne
HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.
- CVE-2026-82291Wysokie
HeyForm przed wersją 3.0.0-rc.8 odzwierciedla nagłówek Origin w odpowiedziach CORS, jednocześnie zezwalając na poświadczenia, co umożliwia żądania międzyorigin z uwierzytelnianiem. Atakujący mogą wykonywać uwierzytelnione zapytania GraphQL ze złośliwych stron odwiedzanych przez zalogowanych użytkowników, aby uzyskać dostęp do obszarów roboczych, projektów, formularzy, zgłoszeń i danych respondentów lub modyfikować ustawienia konta.
- CVE-2026-63428Średnie
HeyForm przed wersją 3.0.0-rc.9 nie waliduje poprawnie pól `hiddenFields` przesyłanych przez użytkownika. Anonimowy użytkownik może wstrzyknąć dowolne pary klucz-wartość, w tym ładunki XSS, które są następnie przekazywane do webhooków.
- CVE-2026-45797Średnie
HeyForm to otwartoźródłowy kreator formularzy. Przed wersją 3.0.0-rc.7, endpoint `/api/upload` umożliwia nieuwierzytelnione przesyłanie plików, w tym plików SVG. Przesłane SVG są przechowywane w katalogu zasobów statycznych i serwowane z nagłówkiem `Content-Type: image/svg+xml` przez middleware serve-static Express, co pozwala atakującemu na osiągnięcie trwałego XSS w domenie heyform bez uwierzytelniania. Wersja 3.0.0-rc.7 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
HeyForm is an open-source form builder. Prior to version 3.0.0-rc.9, `POST /api/upload` has no authentication guard, no global guard, no form-context validation, no `openToken` requirement, and no session cookie check. Any anonymous internet user can upload files (PDF, DOC/DOCX, XLS/XLSX, CSV, TXT, MP4, images, etc., up to 10 MB) and receive a permanent public URL on the HeyForm domain. The endpoint is used by both authenticated form creators and unauthenticated form submitters; because no form-context binding exists, every request to it is anonymously accepted. Version 3.0.0-rc.9 contains a patch for the issue.