„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-48527 betrifft HAX CMS, ein Content-Management-System zur Verwaltung von Microsite-Universen mit PHP- oder Node.js-Backends. Versionen bis einschließlich 26.0.0 weisen eine Stored Cross-Site-Scripting (XSS)-Vulnerabilität im Endpoint `/system/api/saveNode` auf. Die Schwachstelle ermöglicht es authentifizierten Benutzern mit Bearbeitungsberechtigung, den HTML-Sanitizer zu umgehen und schädliche Skripte persistent zu speichern.
Betroffene Systeme
- @haxtheweb/haxcms-nodejs bis Version 26.0.0
- haxcms-php bis Version 26.0.0
- Alle Installationen mit entsprechenden Benutzerberechtigungen
Technische Details
Die Vulnerabilität liegt in der unzureichenden Validierung von HTML-Attributen im `saveNode`-Endpoint. Angreifer können Event-Handler-Attribute injizieren, ohne Whitespace vor dem Attributnamen zu verwenden. Dies umgeht die vorhandenen HTML-Sanitizer-Mechanismen. Ein typisches Payload-Beispiel wäre die Injection von `onclick`, `onerror` oder ähnlichen Event-Handlern in gespeicherte Knoten-Daten.
Die Ausführung erfolgt im Kontext anderer Benutzer, die die manipulierten Seiten aufrufen. Dies ermöglicht Sessionhijacking, Credential-Diebstahl oder die Installation von Malware.
Empfohlene Massnahmen
- Sofort-Update: Upgrade auf @haxtheweb/haxcms-nodejs 26.0.1 oder haxcms-php 26.0.2
- Zugriffskontrolle: Reduzieren Sie Bearbeitungsberechtigungen auf vertrauenswĂĽrdige Administratoren
- Input-Validierung: Implementieren Sie zusätzliche Server-seitige Validierung für alle gespeicherten Inhalte
- Content-Security-Policy: Deployieren Sie strikte CSP-Header zur Minderung von XSS-Auswirkungen
- Audit-Logs: Überprüfen Sie gespeicherte Seiten auf verdächtige Attribute und Skripte
Bewertung
CVSS v3.1 Score: 8.7 (High) – Die Kombination aus Authentifizierungsanforderung und Stored-XSS-Potenzial stellt eine erhebliche Bedrohung dar. Der Angriffsvektor ist netzwerkbasiert, erfordert jedoch gültige Anmeldedaten. Die Auswirkungen auf Integrität und Verfügbarkeit sind erheblich.
„`