گزارش‌های جدید امنیتی نشان‌دهنده وجود چندین آسیب‌پذیری مستقل در نسخه‌های پیش از 0.0.53 ابزار Heym است که سطح شدت آن‌ها HIGH ارزیابی شده است.
اجرای کد دلخواه از طریق ارزیاب شرایط گردش کار
بحرانی‌ترین این آسیب‌پذیری‌ها مربوط به نحوه مدیریت Workflow Condition Evaluator است. در این بخش، سیستم از تابع eval() در زبان پایتون بدون استفاده از یک Sandbox موثر استفاده می‌کند. این نقص امنیتی به کاربران اجازه می‌دهد تا با روش‌های زیر کد پایتون دلخواه را در سطح دسترسی کاربر پردازش پس‌زمینه (Backend Process User) اجرا کنند:
- ویرایش مستقیم گره‌های شرطی یا شاخه‌های گردش کار (Workflow Branch/Condition Node).
- وارد کردن قالب‌های گردش کار (Workflow Template) که حاوی گره‌های شرطی مخرب باشند.
ضعف در تایید اعتبار وب‌هوک‌ها (Webhooks)
علاوه بر مشکل اجرای کد، دو نقص امنیتی دیگر در مکانیزم‌های تایید هویت شناسایی شده است:
- Slack Webhook: نقص در بررسی امضای دیجیتال (Signature Verification) وب‌هوک‌های Slack.
- Telegram Webhook: شکست در تایید
secret-tokenوب‌هوک‌های تلگرام.
در هر دو مورد، سیستم در صورت عدم دریافت تاییدیه، به جای مسدود کردن درخواست، اجازه عبور آن را می‌دهد (Fail Open)، که می‌تواند منجر به سوءاستفاده از تریگرهای سیستم شود.
