CVE-2026-46395

सारांश

# HAX CMS सुरक्षा भेद्यता सारांश HAX CMS PHP या NodeJs बैकएंड के साथ माइक्रोसाइट यूनिवर्स की प्रबंधन में मदद करता है। संस्करण 26.0.0 से पहले, HAXcms Node.js बैकएंड में `hmacBase64()` फ़ंक्शन में दो गंभीर क्रिप्टोग्राफ़िक कार्यान्वयन त्रुटियाँ हैं जो मिलकर किसी भी अनप्रमाणित हमलावर को सिस्टम की निजी साइनिंग कुंजी निकालने और मनमाने एडमिन-स्तरीय JSON Web Tokens (JWTs) जाली बनाने की अनुमति देती हैं, जिससे उन्हें एक ही HTTP अनुरोध के साथ पूर्ण एडमिन पहुँच मिल जाती है। पहले, फ़ंक्शन HMAC साइनिंग कुंजी के रूप में key पैरामीटर के बजाय शाब्दिक स्ट्रिंग "0" पास करता है, जिससे प्रत्येक HAXcms इंस्टेंस समान इनपुट के लिए समान HMAC की गणना करता है। फिर, HMAC की गणना करने के बाद, फ़ंक्शन वास्तविक key पैरामीटर को जोड़ता है जो "this.privateKey + this.salt" है, सिस्टम का मास्टर साइनिंग रहस्य सीधे आउटपुट पर। संयुक्त बफर base64-एन्कोडेड होता है और टोकन के रूप में लौटाया जाता है। उत्पादित प्रत्येक base64url टोकन की संरचना समान होती है: "0" के साथ कुंजीबद्ध 32 बाइट्स HMAC और `privateKey+salt` के N बाइट्स। एक हमलावर किसी भी टोकन को base64-डिकोड करता है, पहले 32 बाइट्स को हटा देता है, और निजी कुंजी को सीधे पढ़ लेता है। `/system/api/connectionSettings` एंडपॉइंट अनप्रमाणित है और इस फ़ंक्शन द्वारा उत्पन्न कई टोकन लौटाता है। इस एंडपॉइंट पर एक एकल GET अनुरोध निजी कुंजी को उजागर करता है। PHP बैकएंड इस फ़ंक्शन को वास्तविक कुंजी के साथ सही ढंग से लागू करता है और केवल हैश लौटाता है। PHP संस्करण 44-वर्ण टोकन उत्पन्न करता है जबकि टूटा हुआ Node.js संस्करण 139+ वर्ण टोकन उत्पन्न करता है। संस्करण 26.0.0 इस समस्या को ठीक करता है।

• CVE-2026-46395-haxcms-hmac-key-leakPoC

  CVE-2026-46395 के लिए PoC और writeup: HAXcms Node.js में टूटे हुए HMAC के माध्यम से अनधिकृत निजी कुंजी प्रकटीकरण (CWE-321/CWE-200)। केवल अधिकृत सुरक्षा अनुसंधान के लिए।