CVE-2026-46511
Açıklama
HAX CMS, PHP veya NodeJs arka uçları ile mikro site evreninin yönetilmesine yardımcı olur. Versiyon 26.0.0 öncesinde, `/system/api/connectionSettings` uç noktasındaki dinamik token ifşasıyla birlikte kullanılan bir Stored XSS saldırı zinciri, kimliği doğrulanmış bir saldırganın tam kapsamlı kiracı ötesi (cross-tenant) hesap ele geçirme işlemi gerçekleştirmesine olanak tanır. API; aktif oturumun kimlik doğrulama tokenlarını (`jwt`, `user_token`, `site_token` ve `appstore_token` dahil) küresel bir JavaScript değişkenine (`window.appSettings`) dinamik olarak sızdırır. Bir saldırgan, kurbanın tarayıcısını gizlice kendi bağlantı ayarlarını getirmeye zorlamak, tokenları çıkarmak ve bunları saldırgan kontrollü bir webhook'a sızdırmak için XSS zafiyetini istismar edebilir. Versiyon 26.0.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- @haxtheweb/haxcms-nodejs26.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @haxtheweb/haxcms-nodejsnpm | v < 26.0.0 | 26.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.