CVE-2026-46394
Açıklama
HAX CMS, PHP veya NodeJs arka uçları ile mikro site evreninin yönetilmesine yardımcı olur. Versiyon 26.0.0 öncesinde, HAXcms PHP arka ucunun Git.php kütüphanesinde bir OS komut enjeksiyonu zafiyeti bulunmaktadır. Uygulama, temizlenmemiş girdileri kullanarak kabuk komutu dizeleri oluşturmakta ve bunları proc_open() aracılığıyla yürütmektedir. Git işlemlerine aktarılan parametreleri kontrol edebilen bir saldırgan, web sunucusunun ayrıcalıklarıyla rastgele OS komutları çalıştırabilir. Kabuk komutlarını çağıran 17 fonksiyondan yalnızca 1 fonksiyon (`commit()`), `escapeshellarg()` fonksiyonunu doğru şekilde kullanmaktadır. Yapılandırma manipülasyonuna izin veren başka bir zafiyetle birleştiğinde bu sorun, tam uzaktan kod çalıştırmaya ve sistemin tamamen ele geçirilmesine yol açabilir. Versiyon 26.0.0 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxtheweb haxcms-php | < 26.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.