CVE-2026-46401
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
HAX CMS w wersjach przed 26.0.0 cierpi na podatność nieprawidłowego kończenia sesji, gdzie tokeny uwierzytelniające pozostają ważne po wylogowaniu użytkownika. Atakujący posiadający ważne tokeny mogą utrzymać stały dostęp do funkcji CMS, omijając mechanizm kończenia sesji.
Ocena ryzyka
Uzyskanie ważnego tokena uwierzytelniającego (np. przez przechwycenie lub wyciek) pozwala atakującemu na nieautoryzowany dostęp do metadanych CMS i funkcji administracyjnych, co zagraża poufności i integralności danych.
Rekomendacja
Należy zaktualizować HAX CMS do wersji 26.0.0 lub nowszej, która zawiera poprawkę prawidłowego unieważniania tokenów po wylogowaniu.
Inne podatności w HAX CMS
Zobacz wszystkie- CVE-2026-46399Krytyczne
HAX CMS w wersjach przed 26.0.0 posiada podatność na nadpisywanie plików, która wymaga uwierzytelnienia. Atakujący może wykorzystać tę podatność do skonfigurowania złośliwych poleceń Git, co prowadzi do wykonania kodu na serwerze HAX CMS.
- CVE-2026-46396Krytyczne
W HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, występuje podatność na przechowywane ataki XSS w wersjach przed 26.0.0. Problem wynika z niewłaściwego oczyszczania elementów `<iframe>`, co pozwala na wykonanie złośliwego kodu JavaScript.
- CVE-2026-46493Wysokie
HAX CMS przed wersją 26.0.1 używa funkcji `uniqid` do generowania soli, co jest nieodpowiednie i może prowadzić do przewidywalności soli. Wersja 26.0.1 naprawia ten problem.
- CVE-2026-46400Wysokie
HAX CMS PHP w wersjach od 11.0.6 do 24.x.x zawiera podatność w funkcji przesyłania plików, która waliduje tylko rozszerzenia plików za pomocą wyrażenia regularnego, bez sprawdzania rzeczywistej zawartości lub typu MIME. Atakujący może przesłać złośliwy plik (np. webshell PHP) udający obraz, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-46398Wysokie
W HAX CMS w wersjach od 25.0.0 do 25.0.0 (przed 26.0.0) ciasteczko haxcms_refresh_token jest ustawiane bez flagi Secure. Umożliwia to jego transmisję przez niezaszyfrowane HTTP, co czyni je podatnym na kradzież przez przechwytywanie pakietów w sieci.
- CVE-2026-46397Średnie
HAX CMS przed wersją 26.0.0 zawiera podatność na Authenticated Local File Inclusion (LFI) w endpointcie saveOutline. Użytkownik z niskimi uprawnieniami może odczytać dowolne pliki na serwerze poprzez manipulację polem location w pliku site.json. Pozwala to na wyciek wrażliwych plików systemowych.
- CVE-2026-46357Średnie
HAX CMS, używane do zarządzania mikrowitrynami z backendem PHP lub Node.js, przed wersją 26.0.0 ulega awarii, gdy uwierzytelniony atakujący wysyła specjalnie spreparowane żądanie utworzenia witryny do endpointu createSite. Pojedyncze żądanie wystarczy, aby wyłączyć całą aplikację, wymagając ręcznego restartu serwera.
- CVE-2026-46511Wysokie
HAX CMS przed wersją 26.0.0 zawierał podatność na atak typu Stored XSS, która w połączeniu z ujawnieniem dynamicznych tokenów w punkcie końcowym `/system/api/connectionSettings` umożliwiała uwierzytelnionemu atakującemu przejęcie konta innego użytkownika. Atakujący mógł wykorzystać tę podatność do wykradzenia tokenów sesji z przeglądarki ofiary.
- CVE-2026-46393Wysokie
HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 26.0.0. Umożliwia to uwierzytelnionym użytkownikom pobieranie dowolnych zasobów wewnętrznych lub lokalnych oraz zapisywanie odpowiedzi w katalogu dostępnym przez sieć.
- CVE-2026-48527Wysokie
HAX CMS w wersjach do 26.0.0 zawiera podatność na trwałe XSS w endpointcie `/system/api/saveNode`. Uwierzytelniony użytkownik z uprawnieniami do edycji stron może ominąć filtr HTML, wstrzykując atrybut zdarzenia bez spacji przed nazwą atrybutu.
Oryginalny opis (angielski, źródło NVD)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Versions prior to 26.0.0 suffer from an improper session termination vulnerability where authentication tokens remain valid after user logout. This allows attackers who obtain valid tokens to maintain persistent access to authenticated CMS functionality, bypassing the intended session termination mechanism and enabling unauthorized access to CMS metadata and administrative functions. Version 26.0.0 fixes the issue.