CVE-2025-54137
Açıklama
HAX CMS NodeJS, kullanıcıların mikro site evrenlerini bir NodeJS arka ucu ile yönetmelerine olanak tanır. 11.0.9 ve altı sürümler, kullanıcı ve süperkullanıcı hesapları için sabit kodlanmış varsayılan kimlik bilgileriyle dağıtılmıştır. Ek olarak, uygulama JWT'ler için varsayılan özel anahtarlara sahiptir. Kurulum sırasında kullanıcılardan kimlik bilgilerini veya gizli anahtarları değiştirmeleri istenmez ve bunları kullanıcı arayüzü üzerinden değiştirmenin bir yolu yoktur. Kimliği doğrulanmamış bir saldırgan, varsayılan kullanıcı kimlik bilgilerini ve JWT özel anahtarlarını herkese açık haxtheweb GitHub depolarından okuyabilir. Bu kimlik bilgileri ve anahtarlar; uygulamanın yapılandırılmamış kendi kendine barındırılan örneklerine erişmek, siteleri değiştirmek ve daha fazla saldırı gerçekleştirmek için kullanılabilir. Bu sorun 11.0.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- psu haxcms-nodejs11.0.10 ya da sonraki bir sürüm
- @haxtheweb/haxcms-nodejs11.0.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| psu haxcms-nodejs | v < 11.0.10 | 11.0.10 |
| @haxtheweb/haxcms-nodejsnpm | v < 11.0.10 | 11.0.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.