CVE-2026-46511
Təsvir
HAX CMS PHP və ya NodeJs backendləri ilə mikrosayt kainiyyətinin idarə edilməsinə kömək edir. Versiya 26.0.0-dan əvvəl, `/system/api/connectionSettings` son nöqtəsindəki dinamik token ifşası ilə birlikdə Stored XSS istifadə edən hücum zənciri autentifikasiya olunmuş hücumçuya tam çarpayılardanasız (cross-tenant) hesab ələ keçirməyə imkan verir. API aktiv sessiyanın autentifikasiya tokenlərini (o cümlədən `jwt`, `user_token`, `site_token` və `appstore_token`) qlobal JavaScript dəyişəninə (`window.appSettings`) dinamik şəkildə sızdırır. Hücumçu XSS boşluğundan istifadə edərək qurbanın brauzerini gizli şəkildə onun xüsusi bağlantı parametrlərini götürməyə, tokenləri çıxarmağa və onları hücumçunun nəzarət etdiyi webhook-a ötürməyə məcbur edə bilər. Versiya 26.0.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- @haxtheweb/haxcms-nodejs26.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @haxtheweb/haxcms-nodejsnpm | v < 26.0.0 | 26.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.