CVE-2026-48527
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
HAX CMS w wersjach do 26.0.0 zawiera podatność na trwałe XSS w endpointcie `/system/api/saveNode`. Uwierzytelniony użytkownik z uprawnieniami do edycji stron może ominąć filtr HTML, wstrzykując atrybut zdarzenia bez spacji przed nazwą atrybutu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji, defacementu lub kradzieży danych.
Rekomendacja
Należy niezwłocznie zaktualizować HAX CMS do wersji 26.0.1 (Node.js) lub 26.0.2 (PHP) lub nowszej.
Inne podatności w HAX CMS
Zobacz wszystkie- CVE-2026-46399Krytyczne
HAX CMS w wersjach przed 26.0.0 posiada podatność na nadpisywanie plików, która wymaga uwierzytelnienia. Atakujący może wykorzystać tę podatność do skonfigurowania złośliwych poleceń Git, co prowadzi do wykonania kodu na serwerze HAX CMS.
- CVE-2026-46396Krytyczne
W HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, występuje podatność na przechowywane ataki XSS w wersjach przed 26.0.0. Problem wynika z niewłaściwego oczyszczania elementów `<iframe>`, co pozwala na wykonanie złośliwego kodu JavaScript.
- CVE-2026-46493Wysokie
HAX CMS przed wersją 26.0.1 używa funkcji `uniqid` do generowania soli, co jest nieodpowiednie i może prowadzić do przewidywalności soli. Wersja 26.0.1 naprawia ten problem.
- CVE-2026-46401Średnie
HAX CMS w wersjach przed 26.0.0 cierpi na podatność nieprawidłowego kończenia sesji, gdzie tokeny uwierzytelniające pozostają ważne po wylogowaniu użytkownika. Atakujący posiadający ważne tokeny mogą utrzymać stały dostęp do funkcji CMS, omijając mechanizm kończenia sesji.
- CVE-2026-46400Wysokie
HAX CMS PHP w wersjach od 11.0.6 do 24.x.x zawiera podatność w funkcji przesyłania plików, która waliduje tylko rozszerzenia plików za pomocą wyrażenia regularnego, bez sprawdzania rzeczywistej zawartości lub typu MIME. Atakujący może przesłać złośliwy plik (np. webshell PHP) udający obraz, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-46398Wysokie
W HAX CMS w wersjach od 25.0.0 do 25.0.0 (przed 26.0.0) ciasteczko haxcms_refresh_token jest ustawiane bez flagi Secure. Umożliwia to jego transmisję przez niezaszyfrowane HTTP, co czyni je podatnym na kradzież przez przechwytywanie pakietów w sieci.
- CVE-2026-46397Średnie
HAX CMS przed wersją 26.0.0 zawiera podatność na Authenticated Local File Inclusion (LFI) w endpointcie saveOutline. Użytkownik z niskimi uprawnieniami może odczytać dowolne pliki na serwerze poprzez manipulację polem location w pliku site.json. Pozwala to na wyciek wrażliwych plików systemowych.
- CVE-2026-46357Średnie
HAX CMS, używane do zarządzania mikrowitrynami z backendem PHP lub Node.js, przed wersją 26.0.0 ulega awarii, gdy uwierzytelniony atakujący wysyła specjalnie spreparowane żądanie utworzenia witryny do endpointu createSite. Pojedyncze żądanie wystarczy, aby wyłączyć całą aplikację, wymagając ręcznego restartu serwera.
- CVE-2026-46511Wysokie
HAX CMS przed wersją 26.0.0 zawierał podatność na atak typu Stored XSS, która w połączeniu z ujawnieniem dynamicznych tokenów w punkcie końcowym `/system/api/connectionSettings` umożliwiała uwierzytelnionemu atakującemu przejęcie konta innego użytkownika. Atakujący mógł wykorzystać tę podatność do wykradzenia tokenów sesji z przeglądarki ofiary.
- CVE-2026-46393Wysokie
HAX CMS, który zarządza mikrositami z backendami PHP lub NodeJs, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 26.0.0. Umożliwia to uwierzytelnionym użytkownikom pobieranie dowolnych zasobów wewnętrznych lub lokalnych oraz zapisywanie odpowiedzi w katalogu dostępnym przez sieć.
Oryginalny opis (angielski, źródło NVD)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Versions up to and including 26.0.0 are affected by a stored cross-site scripting (XSS) vulnerability in the `/system/api/saveNode` endpoint. An authenticated user with a permission to edit pages can bypass the HTML sanitizer by injecting an event handler attribute without whitespace before the attribute name. @haxtheweb/haxcms-nodejs 26.0.1 and haxcms-php 26.0.2 patch the issue.