CVE-2026-82291
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
HeyForm przed wersją 3.0.0-rc.8 odzwierciedla nagłówek Origin w odpowiedziach CORS, jednocześnie zezwalając na poświadczenia, co umożliwia żądania międzyorigin z uwierzytelnianiem. Atakujący mogą wykonywać uwierzytelnione zapytania GraphQL ze złośliwych stron odwiedzanych przez zalogowanych użytkowników, aby uzyskać dostęp do obszarów roboczych, projektów, formularzy, zgłoszeń i danych respondentów lub modyfikować ustawienia konta.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych i możliwość modyfikacji ustawień konta, co może prowadzić do naruszenia prywatności i integralności danych.
Rekomendacja
Zaleca się aktualizację HeyForm do wersji 3.0.0-rc.8 lub nowszej oraz skonfigurowanie CORS w sposób ograniczający dozwolone originy.
Inne podatności w HeyForm
Zobacz wszystkie- CVE-2026-35198Krytyczne
HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.
- CVE-2026-63429Wysokie
Podatność w HeyForm przed wersją 3.0.0-rc.9: endpoint POST /api/upload nie wymaga uwierzytelnienia ani walidacji kontekstu formularza. Każdy anonimowy użytkownik może przesłać plik (do 10 MB) i otrzymać publiczny URL.
- CVE-2026-63428Średnie
HeyForm przed wersją 3.0.0-rc.9 nie waliduje poprawnie pól `hiddenFields` przesyłanych przez użytkownika. Anonimowy użytkownik może wstrzyknąć dowolne pary klucz-wartość, w tym ładunki XSS, które są następnie przekazywane do webhooków.
- CVE-2026-45797Średnie
HeyForm to otwartoźródłowy kreator formularzy. Przed wersją 3.0.0-rc.7, endpoint `/api/upload` umożliwia nieuwierzytelnione przesyłanie plików, w tym plików SVG. Przesłane SVG są przechowywane w katalogu zasobów statycznych i serwowane z nagłówkiem `Content-Type: image/svg+xml` przez middleware serve-static Express, co pozwala atakującemu na osiągnięcie trwałego XSS w domenie heyform bez uwierzytelniania. Wersja 3.0.0-rc.7 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
HeyForm before 3.0.0-rc.8 reflects the request Origin header in CORS responses while allowing credentials, enabling cross-origin requests with authentication. Attackers can execute authenticated GraphQL queries from malicious pages visited by logged-in users to access workspaces, projects, forms, submissions, and respondent data, or modify account settings.