HeyForm : téléversement de HTML actif pouvant mener à une XSS persistante

Veille sécuritéBackend & données

P3Élevée

Une validation insuffisante des fichiers téléversés peut permettre à un utilisateur ordinaire de déposer du HTML actif, servi depuis l’origine HeyForm, et d’exécuter du script dans le navigateur d’une victime. Les versions antérieures à 3.0.1 sont concernées; mettre à jour vers 3.0.1 ou une version ultérieure.

IdentifiantCVE-2026-102615

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.0.1

Source : NVD — CVE-2026-102615

Analyse technique

Le fichier peut être servi comme text/html sans politique CSP; le script exécuté sur l’origine peut agir avec les droits de la session victime, notamment via GraphQL.

Impact, versions et correctif

Événement datéLa publication NVD indiquée est le 2026-11-05 à 16:17:23.937Z, soit le 2026-11-05 à 18:17:23.937+02:00, dans la période demandée. La modification NVD du même jour est rattachée au même avis, sans constituer un item distinct.

ImpactExécution de script dans l’origine HeyForm, avec accès potentiel aux données et actions autorisées à la session de la victime.

Versions affectéesVersions antérieures à 3.0.1

Version corrigée3.0.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

Publication2026-11-05T16:17:23.937Z

Mise à jour2026-11-05T16:17:24.093Z

Détection / vérification

Vérifier la version de HeyForm et examiner les journaux d’upload et d’accès aux fichiers téléversés.

Action recommandée

Mettre à jour HeyForm vers la version 3.0.1 ou ultérieure; examiner les fichiers téléversés et les journaux d’accès.

Sources

NVD — CVE-2026-102615

Priorisation DFS : P3 · 1 source(s).