CVE-2026-100865
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Heym sprzed wersji 0.0.53 zawiera wiele niezależnych luk. (1) Narzędzie do oceny warunków przepływu pracy używa języka Python eval() bez efektywnej piaskownicy, umożliwiając każdemu użytkownikowi, który może edytować węzeł gałęzi/warunku przepływu pracy — lub który może zaimportować szablon przepływu pracy zawierający węzeł szkodliwego warunku — na wykonanie dowolnego kodu Pythona jako użytkownik procesu zaplecza podczas działania przepływu pracy. (2) Weryfikacja podpisu webhooka Slack i (3) Weryfikacja tajnego tokena webhooka telegramu kończy się niepowodzeniem, gdy węzeł wyzwalający nie ma identyfikatora referencyjnego lub pustego klucza tajnego podpisu, umożliwiając każdemu, kto zna publiczny adres URL webhooka, wyzwalanie przepływów pracy przy użyciu poświadczeń właściciela bez uwierzytelniania. (4) Punkt końcowy autoryzacji OAuth nie sprawdza poprawności schematu redirect_uri, więc osoba atakująca, która zarejestruje publicznego klienta OAuth za pomocą javascript: lub data: redirect_uri i zwabi ofiarę do ekranu zgody, otrzyma kod autoryzacyjny i wykona kontrolowany przez atakującego JavaScript w pochodzeniu Heym, łącznie z dostępem do pliku cookie uwierzytelniającego HttpOnly ofiary. (5) Wartości WorkflowExecutionToken, PortalSession, HITLRequest.public_token i OAuthAuthorizationCode są przechowywane w postaci zwykłego tekstu, więc każda ekspozycja na odczyt bazy danych daje prawidłowe tokeny nośnika o określonym zakresie, w tym tokeny portalu i HITL ze 168-godzinnym TTL, które umożliwiają wykonanie przepływu pracy w imieniu właściciela.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org