CVE-2026-46395

Resumo

# HAX CMS O HAX CMS ajuda a gerenciar um universo de microssites com backends em PHP ou Node.js. Antes da versão 26.0.0, a função `hmacBase64()` no backend Node.js do HAXcms contém dois erros críticos de implementação criptográfica que, juntos, permitem que qualquer atacante não autenticado extraia a chave de assinatura privada do sistema e forje JSON Web Tokens (JWTs) arbitrários de nível administrativo, permitindo obter acesso total de administrador com uma única requisição HTTP. Primeiro, a função passa a string literal "0" como chave de assinatura HMAC em vez do parâmetro de chave, fazendo com que todas as instâncias do HAXcms calculem HMACs idênticos para a mesma entrada. Em seguida, após calcular o HMAC, a função concatena o parâmetro de chave real, que é "this.privateKey + this.salt", o segredo mestre de assinatura do sistema, diretamente na saída. O buffer combinado é codificado em base64 e retornado como token. Cada token base64url produzido tem a mesma estrutura: 32 bytes de HMAC com chave "0" e N bytes de `privateKey+salt`. Um atacante decodifica qualquer token em base64, descarta os primeiros 32 bytes e lê a chave privada diretamente. O endpoint `/system/api/connectionSettings` não é autenticado e retorna múltiplos tokens gerados por esta função. Uma única requisição GET a este endpoint expõe a chave privada. O backend PHP implementa esta função corretamente com a chave real e retorna apenas o hash. A versão PHP produz tokens de 44 caracteres, enquanto a versão quebrada do Node.js produz tokens de 139+ caracteres. A versão 26.0.0 corrige o problema.

• CVE-2026-46395-haxcms-hmac-key-leakPoC

  PoC e writeup para CVE-2026-46395: divulgação não autenticada de chave privada via HMAC quebrado no HAXcms Node.js (CWE-321/CWE-200). Apenas pesquisa de segurança autorizada.