5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Heym before 0.0.98 fails to apply SSRF egress guards to WebSocket Send and WebSocket Trigger nodes, allowing authenticated users to connect to internal services. Attackers can craft workflow nodes with arbitrary URLs and headers to reach internal services and read responses from the WebSocket Trigger node.
Засегнати продукти
- heymrun heym: преди 0.0.98; 0.0.98
Вид слабост
История
- 1 септември 2026 Публикувано
Други уязвимости в heymrun heym
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-84207
- https://nvd.nist.gov/vuln/detail/CVE-2026-84207
- https://github.com/heymrun/heym
- https://github.com/heymrun/heym/security/advisories/GHSA-mqw6-g845-w596
- https://github.com/heymrun/heym/commit/540aade7c7495295062f32f4dfd0d6805f066f0c
- https://github.com/heymrun/heym/releases/tag/v0.0.98
- https://github.com/heymrun/heym/blob/v0.0.97/backend/app/services/websocket_utils.py
- https://github.com/heymrun/heym/blob/v0.0.97/backend/app/services/websocket_trigger_service.py
- https://www.vulncheck.com/advisories/heym-before-0.0.98-ssrf-via-websocket-endpoints