CVE-2026-46394

सारांश

HAX CMS माइक्रोसाइट ब्रह्मांड को PHP या NodeJs बैकएंड के साथ प्रबंधित करने में मदद करता है। संस्करण 26.0.0 से पहले, HAXcms PHP बैकएंड की Git.php लाइब्रेरी में एक OS कमांड इंजेक्शन भेद्यता मौजूद है। एप्लिकेशन अस्वच्छ (unsanitized) इनपुट का उपयोग करके शेल कमांड स्ट्रिंग्स बनाता है और उन्हें proc_open() के माध्यम से निष्पादित करता है। एक हमलावर जो Git संचालन में पारित पैरामीटरों को नियंत्रित कर सकता है, वेब सर्वर के विशेषाधिकारों के साथ मनमाने OS कमांड निष्पादित कर सकता है। शेल कमांड को आमंत्रित करने वाले 17 फ़ंक्शनों में से केवल 1 फ़ंक्शन (`commit()`) सही ढंग से `escapeshellarg()` का उपयोग करता है। जब इसे किसी अन्य भेद्यता के साथ जोड़ा जाता है जो कॉन्फ़िगरेशन हेरफेर की अनुमति देती है, तो यह समस्या पूर्ण दूरस्थ कोड निष्पादन और पूर्ण सिस्टम समझौता कर सकती है। संस्करण 26.0.0 इस समस्या को ठीक करता है।

• CVE-2026-46394-haxcms-git-command-injectionPoC

  CVE-2026-46394 के लिए PoC और लेख: HAXcms Git.php में OS कमांड इंजेक्शन (CWE-78)। केवल अधिकृत सुरक्षा अनुसंधान के लिए।