CVE-2026-46496
Təsvir
HAX CMS, PHP və ya NodeJs backendləri ilə mikrosayt kainiyyətinin idarə edilməsinə kömək edir. `<video-player>` komponentinin düzgün təmizlənməməsi səbəbindən 26.0.0 versiyasından əvvəlki versiyalarda saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Komponent `source` atributunda `javascript:` URI-lərini qəbul edir və bu URI-lər səhifə görüntüləndikdə icra olunur. Bu, hücumçulara qurbanın brauzeri kontekstində ixtiyari JavaScript kodlarını icra etməyə və JWT tokenləri kimi həssas məlumatlara daxil olmağa imkan verir. 26.0.0 versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- @haxtheweb/haxcms-nodejs26.0.0 və ya daha yeni versiya
- @haxtheweb/video-player26.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @haxtheweb/haxcms-nodejsnpm | v < 26.0.0 | 26.0.0 |
| @haxtheweb/video-playernpm | v < 26.0.0 | 26.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.