CVE-2026-100862
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
heym, platforma automatyzacji przepływu pracy, przechowuje i zwraca wiele tajnych możliwości w postaci zwykłego tekstu w wersjach wcześniejszych niż 0.0.91. Dotknięte sekrety obejmują wartości uwierzytelniania nagłówka elementu webhook (zwrócone w postaci zwykłego tekstu przez GET /api/workflows/{id} i utrwalone w niezmienionej postaci w historii wykonywania), klucze API MCP (przechowywane jako kolumna w postaci zwykłego tekstu, zwracane w odpowiedziach na konfigurację/listę i akceptowane za pomocą ciągu zapytania ?key=, dzięki czemu wyciekają do dzienników, serwerów proxy i nagłówków stron odsyłających), tokeny sesji portalu (przechowywane i weryfikowane przez równość zwykłego tekstu z 168-godzinnym okresem TTL), tokeny interakcji wykonania przepływu pracy (przechowywane w całości i ponownie wyświetlane przez GET .../execution-tokens), tokeny interakcji Discord (pełna treść interakcji jest przechowywana w historii wykonywania) oraz zmienne globalne. Użytkownik mający dostęp do odczytu przepływu pracy, członkostwo w udziale/zespole lub dowolna osoba, która może odczytać bazę danych, kopię zapasową lub dzienniki, może odzyskać te klucze tajne i odtworzyć je w celu wykonania przepływów pracy lub działać jako właściciel klucza tajnego.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org