CVE-2026-35185
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
HAX CMS przed wersją 25.0.0 udostępnia publicznie endpoint /server-status, który ujawnia wrażliwe informacje, w tym tokeny uwierzytelniania (user_token), aktywność użytkowników, adresy IP klientów i szczegóły konfiguracji serwera. Każdy nieuwierzytelniony użytkownik może monitorować interakcje użytkowników w czasie rzeczywistym i zbierać informacje o infrastrukturze wewnętrznej.
Ocena ryzyka
Nieuwierzytelniony atakujący może przechwycić tokeny sesji i uzyskać nieautoryzowany dostęp do kont użytkowników oraz poznać szczegóły infrastruktury.
Rekomendacja
Zaktualizuj HAX CMS do wersji 25.0.0 lub nowszej.
Inne podatności w HAX CMS
Zobacz wszystkie- CVE-2026-46399Krytyczne
HAX CMS w wersjach przed 26.0.0 posiada podatność na nadpisywanie plików, która wymaga uwierzytelnienia. Atakujący może wykorzystać tę podatność do skonfigurowania złośliwych poleceń Git, co prowadzi do wykonania kodu na serwerze HAX CMS.
- CVE-2026-46396Krytyczne
W HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, występuje podatność na przechowywane ataki XSS w wersjach przed 26.0.0. Problem wynika z niewłaściwego oczyszczania elementów `<iframe>`, co pozwala na wykonanie złośliwego kodu JavaScript.
- CVE-2026-46493Wysokie
HAX CMS przed wersją 26.0.1 używa funkcji `uniqid` do generowania soli, co jest nieodpowiednie i może prowadzić do przewidywalności soli. Wersja 26.0.1 naprawia ten problem.
- CVE-2026-46401Średnie
HAX CMS w wersjach przed 26.0.0 cierpi na podatność nieprawidłowego kończenia sesji, gdzie tokeny uwierzytelniające pozostają ważne po wylogowaniu użytkownika. Atakujący posiadający ważne tokeny mogą utrzymać stały dostęp do funkcji CMS, omijając mechanizm kończenia sesji.
- CVE-2026-46400Wysokie
HAX CMS PHP w wersjach od 11.0.6 do 24.x.x zawiera podatność w funkcji przesyłania plików, która waliduje tylko rozszerzenia plików za pomocą wyrażenia regularnego, bez sprawdzania rzeczywistej zawartości lub typu MIME. Atakujący może przesłać złośliwy plik (np. webshell PHP) udający obraz, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-46398Wysokie
W HAX CMS w wersjach od 25.0.0 do 25.0.0 (przed 26.0.0) ciasteczko haxcms_refresh_token jest ustawiane bez flagi Secure. Umożliwia to jego transmisję przez niezaszyfrowane HTTP, co czyni je podatnym na kradzież przez przechwytywanie pakietów w sieci.
- CVE-2026-46397Średnie
HAX CMS przed wersją 26.0.0 zawiera podatność na Authenticated Local File Inclusion (LFI) w endpointcie saveOutline. Użytkownik z niskimi uprawnieniami może odczytać dowolne pliki na serwerze poprzez manipulację polem location w pliku site.json. Pozwala to na wyciek wrażliwych plików systemowych.
- CVE-2026-46357Średnie
HAX CMS, używane do zarządzania mikrowitrynami z backendem PHP lub Node.js, przed wersją 26.0.0 ulega awarii, gdy uwierzytelniony atakujący wysyła specjalnie spreparowane żądanie utworzenia witryny do endpointu createSite. Pojedyncze żądanie wystarczy, aby wyłączyć całą aplikację, wymagając ręcznego restartu serwera.
- CVE-2026-46511Wysokie
HAX CMS przed wersją 26.0.0 zawierał podatność na atak typu Stored XSS, która w połączeniu z ujawnieniem dynamicznych tokenów w punkcie końcowym `/system/api/connectionSettings` umożliwiała uwierzytelnionemu atakującemu przejęcie konta innego użytkownika. Atakujący mógł wykorzystać tę podatność do wykradzenia tokenów sesji z przeglądarki ofiary.
- CVE-2026-46393Wysokie
HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 26.0.0. Umożliwia to uwierzytelnionym użytkownikom pobieranie dowolnych zasobów wewnętrznych lub lokalnych oraz zapisywanie odpowiedzi w katalogu dostępnym przez sieć.
Oryginalny opis (angielski, źródło NVD)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Prior to 25.0.0, the /server-status endpoint is publicly accessible and exposes sensitive information including authentication tokens (user_token), user activity, client IP addresses, and server configuration details. This allows any unauthenticated user to monitor real-time user interactions and gather internal infrastructure information. This vulnerability is fixed in 25.0.0.