CVE-2025-49138

HAX CMS PHP, kullanıcıların mikro site evrenlerini bir PHP arka ucu ile yönetmelerine olanak tanır. Versiyon 11.0.0 öncesinde, HAXCMS saveOutline uç noktasındaki kimlik doğrulaması gerektiren bir Yerel Dosya Dahil Etme (LFI) zafiyeti, düşük yetkili bir kullanıcının site.json dosyasına yazılan location alanını manipüle ederek sunucudaki rastgele dosyaları okumasına izin verir. Bu durum, saldırganların /etc/passwd gibi hassas sistem dosyalarını, uygulama sırlarını veya web sunucusunun (www-data) erişebildiği yapılandırma dosyalarını sızdırmasına olanak tanır. Zafiyet, HAXCMS arka ucunun sitenin ana hattındaki location alanını işleme biçiminden kaynaklanmaktadır. Bir kullanıcı /system/api/saveOutline adresine bir POST isteği gönderdiğinde, arka uç sağlanan location değerini giriş verisini doğrulamadan veya temizlemeden doğrudan siteyle ilişkili site.json dosyasına kaydeder. Daha sonra location parametresi, belirli bir düğüm için içeriği çözümlemek ve yüklemek üzere CMS tarafından yorumlanır. Eğer location alanı `../../../etc/passwd` gibi göreceli bir yol içeriyorsa, uygulama bu dosyayı okumaya ve işlemeye çalışacaktır. Versiyon 11.0.0 bu sorunu düzeltmektedir.