CVE-2026-46397 in haxcms-php
Zusammenfassung
von VulDB • 05.06.2026
HAX CMS hilft bei der Verwaltung des Microsite-Universums mit PHP- oder NodeJs-Backends. Vor Version 26.0.0 ermöglicht eine Authenticated Local File Inclusion (LFI)-Schwachstelle im HAXCMS saveOutline-Endpunkt einem Benutzer mit geringen Berechtigungen, beliebige Dateien auf dem Server zu lesen, indem das in site.json geschriebene location-Feld manipuliert wird. Dies ermöglicht Angreifern, sensible Systemdateien wie /etc/passwd, Anwendungsschlüssel oder Konfigurationsdateien, die für den Webserver (www-data) zugänglich sind, zu exfiltrieren. Version 26.0.0 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.