CVE-2026-46395

HAX CMS, PHP və ya NodeJs backendləri ilə mikrosayt kainiyyətini idarə etməyə kömək edir. Versiya 26.0.0-dan əvvəl, HAXcms Node.js backendindəki `hmacBase64()` funksiyasında iki kritik kriptoqrafik tətbiq xətası mövcuddur ki, bunlar birlikdə hər hansı autentifikasiya olunmamış hücumçuya sistemin şəxsi imzalama açarını çıxarmağa və ixtiyari admin səviyyəli JSON Web Tokenlər (JWTs) yaratmağa imkan verir, bu da onlara tək bir HTTP sorğusu ilə tam admin girişini əldə etməyə şərait yaradır. Birincisi, funksiya açar parametrinin əvəzinə HMAC imzalama açarı kimi "0" literal sətirini ötürür, bu da hər bir HAXcms instansiyasının eyni giriş üçün identik HMAC-lar hesablamasına səbəb olur. Daha sonra, HMAC hesablandıqdan sonra funksiya real açar parametrini ("this.privateKey + this.salt"), yəni sistemin əsas imzalama sirrini birbaşa nəticəyə əlavə edir. Birləşdirilmiş bufer base64 formatında kodlaşdırılır və token kimi qaytarılır. Yaradılan hər bir base64url tokeni eyni struktura malikdir: "0" ilə açarlanmış 32 baytlıq HMAC və N baytlıq `privateKey+salt`. Hücumçu hər hansı tokeni base64 formatından dekod edir, ilk 32 baytı atır və şəxsi açarı birbaşa oxuyur. `/system/api/connectionSettings` son nöqtəsi (endpoint) autentifikasiya tələb etmir və bu funksiya tərəfindən yaradılmış çoxlu sayda token qaytarır. Bu son nöqtəyə göndərilən tək bir GET sorğusu şəxsi açarı ifşa edir. PHP backendi bu funksiyanı aktual açarla düzgün şəkildə tətbiq edir və yalnız heşi qaytarır. PHP versiyası 44 simvollu tokenlər istehsal edir, xətalı Node.js versiyası isə 139+ simvollu tokenlər istehsal edir. Versiya 26.0.0 bu problemi aradan qaldırır.