FICHE CVE

CVE-2026-46391

Publiée le 2026-06-05 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les installations de HAX CMS utilisant les versions 9.0.1 à 25.x de `@haxtheweb/open-apis` sont affectées par une faille dans la manière dont les noms d'hôte sont validés. Un attaquant distant non authentifié peut tromper le système pour l'inciter à envoyer des identifiants d'authentification basique sensibles vers un serveur malveillant en concevant une URL qui imite un nom d'hôte approuvé. Cette exploitation est facile à exécuter car elle ne nécessite aucun privilège spécial ni interaction de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-183 Falsification de requête côté serveur (SSRF) · CWE-918

Publiée2026-06-05

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

HAX CMS helps manage microsite universe with PHP or NodeJs backends. Starting in version 9.0.1 and prior to version 26.0.0 of @haxtheweb/open-apis, multiple functions conduct substring-only matching to validate hostnames to which basic authorization should be sent. An attacker can append the matched substrings to an attacker-controlled endpoint and capture authentication. Version 26.0.0 fixes the issue.