8.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Heym before 0.0.53 fails to verify Slack request signatures when trigger nodes lack credential IDs or have empty signing secrets. Remote unauthenticated attackers can send forged Slack events to known webhook URLs to trigger workflows with the owner's credentials.
Засегнати продукти
- heymrun heym: преди 0.0.53; 0.0.53
Вид слабост
История
- 27 септември 2026 Публикувано
Други уязвимости в heymrun heym
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-101049
- https://nvd.nist.gov/vuln/detail/CVE-2026-101049
- https://github.com/heymrun/heym/security/advisories/GHSA-pm6h-x3h5-j38h
- https://github.com/heymrun/heym/commit/341d1012367cd74f85c617e1c98dd49e3fcb5e83
- https://www.vulncheck.com/advisories/heym-before-0.0.53-slack-webhook-signature-verification-bypass