CVE-2026-46396

HAX CMS w wersjach przed 26.0.0 posiada podatność na nadpisywanie plików, która wymaga uwierzytelnienia. Atakujący może wykorzystać tę podatność do skonfigurowania złośliwych poleceń Git, co prowadzi do wykonania kodu na serwerze HAX CMS.

HAX CMS przed wersją 26.0.1 używa funkcji `uniqid` do generowania soli, co jest nieodpowiednie i może prowadzić do przewidywalności soli. Wersja 26.0.1 naprawia ten problem.

HAX CMS w wersjach przed 26.0.0 cierpi na podatność nieprawidłowego kończenia sesji, gdzie tokeny uwierzytelniające pozostają ważne po wylogowaniu użytkownika. Atakujący posiadający ważne tokeny mogą utrzymać stały dostęp do funkcji CMS, omijając mechanizm kończenia sesji.

HAX CMS PHP w wersjach od 11.0.6 do 24.x.x zawiera podatność w funkcji przesyłania plików, która waliduje tylko rozszerzenia plików za pomocą wyrażenia regularnego, bez sprawdzania rzeczywistej zawartości lub typu MIME. Atakujący może przesłać złośliwy plik (np. webshell PHP) udający obraz, co może prowadzić do zdalnego wykonania kodu.

W HAX CMS w wersjach od 25.0.0 do 25.0.0 (przed 26.0.0) ciasteczko haxcms_refresh_token jest ustawiane bez flagi Secure. Umożliwia to jego transmisję przez niezaszyfrowane HTTP, co czyni je podatnym na kradzież przez przechwytywanie pakietów w sieci.

HAX CMS przed wersją 26.0.0 zawiera podatność na Authenticated Local File Inclusion (LFI) w endpointcie saveOutline. Użytkownik z niskimi uprawnieniami może odczytać dowolne pliki na serwerze poprzez manipulację polem location w pliku site.json. Pozwala to na wyciek wrażliwych plików systemowych.

HAX CMS, używane do zarządzania mikrowitrynami z backendem PHP lub Node.js, przed wersją 26.0.0 ulega awarii, gdy uwierzytelniony atakujący wysyła specjalnie spreparowane żądanie utworzenia witryny do endpointu createSite. Pojedyncze żądanie wystarczy, aby wyłączyć całą aplikację, wymagając ręcznego restartu serwera.

HAX CMS przed wersją 26.0.0 zawierał podatność na atak typu Stored XSS, która w połączeniu z ujawnieniem dynamicznych tokenów w punkcie końcowym `/system/api/connectionSettings` umożliwiała uwierzytelnionemu atakującemu przejęcie konta innego użytkownika. Atakujący mógł wykorzystać tę podatność do wykradzenia tokenów sesji z przeglądarki ofiary.

HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 26.0.0. Umożliwia to uwierzytelnionym użytkownikom pobieranie dowolnych zasobów wewnętrznych lub lokalnych oraz zapisywanie odpowiedzi w katalogu dostępnym przez sieć.

HAX CMS w wersjach do 26.0.0 zawiera podatność na trwałe XSS w endpointcie `/system/api/saveNode`. Uwierzytelniony użytkownik z uprawnieniami do edycji stron może ominąć filtr HTML, wstrzykując atrybut zdarzenia bez spacji przed nazwą atrybutu.