HeyForm Stored XSS Vulnerability (CVE-2026-35198) Advisory and Remediation Guide

漏洞概述 CVE-2026-35198: HeyForm 富文本字段中的存储型 XSS — 通过静默载荷实现团队接管 HeyForm 的表单构建器支持富文本字段，这些字段在表单模式中存储 HTML。这些字段通过 / 渲染，没有进行任何清理。任何具有表单编辑权限的团队成员都可以注入一个持久化的 JavaScript 载荷，该载荷会在任何渲染表单的浏览器中自动执行——包括表单所有者（在构建器中）、匿名受访者（在公共表单中）以及团队成员（在响应仪表板中）。该载荷能够实现静默会话窃取和完整的团队所有权接管。修复程序在提交 中发布，但没有公开建议；没有触发 Dependabot 警报；也没有 NVD 记录。 影响范围 受影响版本：所有通过 v3.0.0-rc.6 的版本 严重程度：关键（CVSS v3.1 基础评分 9.0） CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:A:N 弱点： - CWE-79 — 存储型跨站脚本（主要） - CWE-116 — 不正确的输出编码 修复方案 修复提交： ，消息为“修复表单模式富文本中的存储型 XSS”，在 DOM 插入前对 HTML 内容应用输入清理，阻止通过富文本字段注入任意脚本内容。 重要提示：没有标记的发布版本记录此修复。云部署会自动推送 Heyform.net 的提交。自托管运营商必须手动检查并提交更新。 自托管运营商的补救措施 1. 验证提交 是否存在：在 HeyForm 部署目录中，运行 。如果不存在，则实例易受攻击。 2. 立即更新到此提交：拉取最新代码库并重建。将此视为关键安全更新，无论更新中是否有其他更改。 3. 不要在未修补的实例上托管公共表单：任何具有表单编辑权限的团队成员都可以植入持久化载荷，使每个匿名受访者填充任何表单。 4. 审查团队成员和表单编辑权限：在修补之前，任何团队成员都是潜在的攻击向量。将团队成员减少到最低必要数量。 5. 检查利用迹象：审查会话日志，查找来自异常位置的非预期登录。查找未经授权的团队所有权转移或新所有者级别的账户。 披露时间线 2026-03-28：在 heyform/heyform 的源代码审计期间发现漏洞。在本地 v3.0.0-rc.6 实例上重现。确认完整的攻击链。 2026-03-30：GitHub 安全建议 GHSA-chmm-jqpm-3pxw 提交。 2026-04-02：GitHub 分配 CVE-2026-35198。 2026-05-14：发布建议的跟进评论发布（报告后 6.5 周）。维护者（IMuFeng）在提交 中修复并关闭建议线程。未发布建议。未推送 CVE 到 cve.org。 2026-05-23：请求发布步骤的跟进评论。无响应。 2026-06-10：向 GitHub 安全实验室发送电子邮件。确认他们可以在收到公开撰写 URL 后推送 CVE 记录。 2026-06-22：发布此建议。URL 提供给 GitHub 安全实验室以启用 cve.org 上的 CVE 记录发布。 参考 GitHub 安全建议：GHSA-chmm-jqpm-3pxw 修复提交： — “修复表单模式富文本中的存储型 XSS” HeyForm 仓库：github.com/heyform/heyform 博客文章（故事和披露叙述）：CVE-2026-35198: HeyForm 的存储型 XSS 已修复。然后建议被关闭而未发布。 代码块

目標達成 すべての支援者に感謝 — 100%達成しました！

HeyForm Stored XSS Vulnerability (CVE-2026-35198) Advisory and Remediation Guide

目標達成すべての支援者に感謝 — 100%達成しました！