CVE-2026-46395

Zusammenfassung

HAX CMS hilft bei der Verwaltung eines Microsite-Universums mit PHP- oder NodeJs-Backends. Vor Version 26.0.0 enthält die Funktion `hmacBase64()` im HAXcms-Node.js-Backend zwei kritische kryptografische Implementierungsfehler, die zusammen jedem nicht authentifizierten Angreifer ermöglichen, den privaten Signaturschlüssel des Systems zu extrahieren und beliebige Admin-Level-JSON-Web-Tokens (JWTs) zu fälschen, wodurch er mit einer einzigen HTTP-Anfrage vollen Admin-Zugriff erhält. Erstens übergibt die Funktion den Literal-String "0" als HMAC-Signaturschlüssel anstelle des Schlüsselparameters, wodurch jede HAXcms-Instanz für dieselbe Eingabe identische HMACs berechnet. Zweitens verkettet die Funktion nach der Berechnung des HMAC den realen Schlüsselparameter, nämlich "this.privateKey + this.salt", das Master-Signiergeheimnis des Systems, direkt an die Ausgabe. Der kombinierte Puffer wird base64-kodiert und als Token zurückgegeben. Jedes erzeugte base64url-Token hat dieselbe Struktur: 32 Bytes HMAC, geschlüsselt mit "0", und N Bytes von `privateKey+salt`. Ein Angreifer base64-dekodiert ein beliebiges Token, verwirft die ersten 32 Bytes und liest den privaten Schlüssel direkt ab. Der Endpunkt `/system/api/connectionSettings` ist nicht authentifiziert und gibt mehrere von dieser Funktion erzeugte Tokens zurück. Eine einzige GET-Anfrage an diesen Endpunkt legt den privaten Schlüssel offen. Das PHP-Backend implementiert diese Funktion korrekt mit dem tatsächlichen Schlüssel und gibt nur den Hash zurück. Die PHP-Version erzeugt 44 Zeichen lange Tokens, während die fehlerhafte Node.js-Version Tokens mit 139+ Zeichen erzeugt. Version 26.0.0 behebt das Problem.

• CVE-2026-46395-haxcms-hmac-key-leakPoC

  PoC und Writeup für CVE-2026-46395: unauthentifizierte Offenlegung privater Schlüssel durch defekten HMAC in HAXcms Node.js (CWE-321/CWE-200). Nur für autorisierte Sicherheitsforschung.