CVE-2026-46395

HAX CMS, PHP veya NodeJs arka uçları ile mikro site evrenini yönetmeye yardımcı olur. Versiyon 26.0.0 öncesinde, HAXcms Node.js arka ucundaki `hmacBase64()` fonksiyonu, kimliği doğrulanmamış herhangi bir saldırganın sistemin özel imzalama anahtarını çıkarmasına ve tek bir HTTP isteğiyle tam yönetici erişimi elde etmelerini sağlayan rastgele yönetici düzeyinde JSON Web Token'lar (JWT'ler) oluşturmasına birlikte izin veren iki kritik kriptografik uygulama hatası içermektedir. İlk olarak, fonksiyon, anahtar parametresi yerine sabit "0" dizesini HMAC imzalama anahtarı olarak geçirerek her HAXcms örneğinin aynı girdi için özdeş HMAC'ler hesaplamasına neden olur. Ardından, HMAC hesaplandıktan sonra fonksiyon, gerçek anahtar parametresi olan "this.privateKey + this.salt" yani sistemin ana imzalama sırrını doğrudan çıktıya ekler. Birleştirilmiş tampon bellek base64 ile kodlanır ve token olarak döndürülür. Üretilen her base64url token aynı yapıya sahiptir: "0" ile anahtarlanmış 32 baytlık HMAC ve N baytlık `privateKey+salt`. Bir saldırgan herhangi bir token'ı base64 ile çözer, ilk 32 baytı atar ve özel anahtarı doğrudan okur. `/system/api/connectionSettings` uç noktası kimlik doğrulaması gerektirmez ve bu fonksiyon tarafından oluşturulan birden fazla token döndürür. Bu uç noktaya yapılan tek bir GET isteği özel anahtarı ifşa eder. PHP arka ucu bu fonksiyonu gerçek anahtar ile doğru şekilde uygular ve yalnızca özet değerini döndürür. PHP versiyonu 44 karakterli token'lar üretirken, hatalı Node.js versiyonu 139+ karakterli token'lar üretir. Versiyon 26.0.0 sorunu düzeltmektedir.