CVE-2026-46496
Açıklama
HAX CMS, PHP veya NodeJs arka uçları ile mikro site evrenini yönetmeye yardımcı olur. `<video-player>` bileşeninin uygun şekilde temizlenmemesi nedeniyle 26.0.0 öncesi sürümlerde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bileşen, `source` özniteliğinde `javascript:` URI'larına izin verir ve bunlar sayfa görüntülendiğinde çalıştırılır. Bu durum, saldırganların kurbanın tarayıcısı bağlamında rastgele JavaScript çalıştırmasına ve JWT belirteçleri gibi hassas verilere erişmesine olanak tanır. Sürüm 26.0.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- @haxtheweb/haxcms-nodejs26.0.0 ya da sonraki bir sürüm
- @haxtheweb/video-player26.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @haxtheweb/haxcms-nodejsnpm | v < 26.0.0 | 26.0.0 |
| @haxtheweb/video-playernpm | v < 26.0.0 | 26.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.