PT-2026-61623 · Heyform · Heyform

CVE-2026-63429 · Publicado 2026-07-20 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas HeyForm versões anteriores a 3.0.0-rc.9

Description Existe uma falha de bypass de autenticação no construtor de formulários de código aberto. O endpoint POST /api/upload não possui guarda de autenticação, guarda global, validação de contexto de formulário, requisito de openToken nem verificação de cookie de sessão. Isso permite que qualquer usuário anônimo da internet faça upload de arquivos — incluindo PDF, DOC/DOCX, XLS/XLSX, CSV, TXT, MP4 e imagens de até 10 MB — e receba uma URL pública permanente no domínio. O problema ocorre porque o endpoint é utilizado tanto por criadores autenticados quanto por remetentes não autenticados, mas a ausência de vinculação ao contexto do formulário faz com que todas as requisições sejam aceitas anonimamente.

Recommendations Atualize para a versão 3.0.0-rc.9. Restrinja o acesso ao endpoint POST /api/upload para minimizar o risco de exploração.

Exploit

Correção

Unrestricted File Upload

Missing Authentication

Enumeração de Fraquezas

CWE-434

CWE-306

Identificadores relacionados

CVE-2026-63429

GHSA-432X-54V2-P7P7

Produtos afetados

Heyform

Referências · 7

• 🔥 https://github.com/heyform/heyform/security/advisories/GHSA-432x-54v2-p7p7 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/63xxx/CVE-2026-63429.json · Exploit
• https://github.com/heyform/heyform/commit/092e255e9e02565de1b3c057f3dad849160952d2 · Nota
• https://osv.dev/vulnerability/CVE-2026-63429 · Aviso do Fabricante
• https://twitter.com/HugoValters/status/2079266161976348757 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-63429 · Nota de Segurança
• https://twitter.com/CVEnew/status/2079238902489956672 · Publicação no Twitter