یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100859 در نسخه‌های پیش از 0.0.106 ابزار Heym شناسایی شده است. این نقص امنیتی که در سطح شدت Medium طبقه‌بندی شده، امکان استخراج غیرمجاز اعتبارنامه‌ها (Credential Exfiltration) را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این مشکل در نقطه پایانی (Endpoint) مدل POST /api/credentials/test رخ می‌دهد. در این سناریو، کاربرانی که به عنوان همکار (Collaborator) دسترسی به اعتبارنامه‌های مشترک دارند، می‌توانند اسرار (Secrets) مربوط به مالک اعتبارنامه را استخراج کنند.
مکانیسم حمله
مهاجمان می‌توانند با دستکاری پارامتر config، آدرس مقصد (Destination URL) را تغییر دهند. این اقدام باعث می‌شود سرور، اسرار احراز هویت رمزگشایی شده را به جای مقصد قانونی، به نقاط پایانی تحت کنترل مهاجم ارسال کند.
- نوع آسیب‌پذیری: نشت داده‌های حساس / استخراج اعتبارنامه
- نسخه‌های آسیب‌پذیر: نسخه‌های قدیمی‌تر از 0.0.106
- تاثیر: دسترسی به اسرار رمزگشایی شده مالک اعتبارنامه توسط کاربران دارای دسترسی مشترک
