CVE-2026-46394
Təsvir
HAX CMS PHP və ya NodeJs backend-ləri ilə mikrosayt kainiyyətini idarə etməyə kömək edir. Versiya 26.0.0-dan əvvəl, HAXcms PHP backend-inin Git.php kitabxanasında ƏMƏLİYYAT SİSTEMİ əmrinin inyeksiyası zəifliyi mövcuddur. Tətbiq təmizlənməmiş giriş məlumatlarından istifadə edərək shell əmr sətirləri qurur və onları proc_open() vasitəsilə icra edir. Git əməliyyatlarına ötürülən parametrləri idarə edə bilən hücumçu, veb serverin imtiyazları ilə ixtiyari ƏS əmrlərini icra edə bilər. Shell əmrlərini çağıran 17 funksiyadan yalnız bir funksiya (`commit()`) `escapeshellarg()` funksiyasından düzgün istifadə edir. Konfiqurasiyanın manipulyasiyasına imkan verən digər zəifliklə birlikdə bu problem uzaqdan tam kodun icrasına və sistemin tam kompromisəsinə səbəb ola bilər. Versiya 26.0.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| haxtheweb haxcms-php | < 26.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.