CVE-2026-46395

概要

HAX CMSは、PHPまたはNode.jsバックエンドを使用してマイクロサイトのユニバースを管理するのに役立ちます。バージョン26.0.0より前のバージョンでは、HAXcmsのNode.jsバックエンドの`hmacBase64()`関数に2つの重大な暗号実装エラーが含まれており、これらが組み合わさることで、認証されていない任意の攻撃者がシステムの秘密署名鍵を抽出し、任意の管理者レベルのJSON Webトークン（JWT）を偽造して、単一のHTTPリクエストで完全な管理者アクセスを取得できるようになります。まず、この関数はkeyパラメータの代わりにリテラル文字列「"0"」をHMAC署名鍵として渡すため、すべてのHAXcmsインスタンスが同じ入力に対して同一のHMACを計算することになります。次に、HMACを計算した後、この関数は実際のkeyパラメータ（「this.privateKey + this.salt」、つまりシステムのマスター署名シークレット）を出力に直接連結します。結合されたバッファはbase64エンコードされ、トークンとして返されます。生成されるすべてのbase64urlトークンは同じ構造を持ちます：「"0"」を鍵とする32バイトのHMACと、`privateKey+salt`のNバイトです。攻撃者は任意のトークンをbase64デコードし、最初の32バイトを破棄して、秘密鍵を直接読み取ることができます。`/system/api/connectionSettings`エンドポイントは認証されておらず、この関数によって生成された複数のトークンを返します。このエンドポイントへの単一のGETリクエストで秘密鍵が公開されます。PHPバックエンドはこの関数を実際の鍵で正しく実装しており、ハッシュのみを返します。PHPバージョンは44文字のトークンを生成するのに対し、壊れたNode.jsバージョンは139文字以上のトークンを生成します。バージョン26.0.0でこの問題は修正されています。

• CVE-2026-46395-haxcms-hmac-key-leakPoC

  CVE-2026-46395 の PoC および writeup: HAXcms Node.js における壊れた HMAC を介した未認証の秘密鍵開示 (CWE-321/CWE-200)。認可されたセキュリティ研究のみに使用してください。