در نسخه‌های پیش از 0.0.91 پلتفرم اتوماسیون گردش‌کار heym، یک آسیب‌پذیری امنیتی شناسایی شده است که منجر به ذخیره‌سازی و بازگرداندن چندین مورد از اسرار (Secrets) مربوط به قابلیت‌های سیستم به صورت متن ساده (Plaintext) می‌شود.
جزئیات فنی نشت داده‌ها
بررسی‌ها نشان می‌دهد که این نقص امنیتی منجر به افشای موارد زیر می‌گردد:
- مقادیر احرازی Webhook: مقادیر مربوط به
header-authدر وب‌هوک‌ها، از طریق درخواستGET /api/workflows/{id}به صورت متن ساده بازگردانده شده و بدون هیچ‌گونه پاک‌سازی (Sanitization) در تاریخچه اجرا (Execution History) ذخیره می‌شوند. - کلیدهای API مربوط به MCP: این کلیدها در یک ستون به صورت متن ساده ذخیره شده و در پاسخ‌های
config/listبازگردانده می‌شوند. همچنین، پذیرش این کلیدها از طریق Query String (پارامتر?key=) باعث نشت آن‌ها در Logها، پروکسی‌ها و هدرهای Referer می‌گردد. - توکن‌های نشست پورتال: توکن‌های مربوط به Session پورتال نیز به صورت ناامن ذخیره و اعتبارسنجی می‌شوند.
توصیه امنیتی
به مدیران SOC و مهندسین امنیت توصیه می‌شود در سریع‌ترین زمان ممکن، پلتفرم heym خود را به نسخه 0.0.91 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از نشت اطلاعات حساس و دسترسی غیرمجاز به APIها جلوگیری شود.
