PT-2025-23555 · Hax · Hax Open-Apis+1

23Younesm · Publicado 2025-06-02 · Atualizado 2025-06-05 · CVE-2025-48996

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do HAX open-apis até e incluindo a 10.0.2

Descrição Existe uma vulnerabilidade de divulgação de informações não autenticada no sistema de gerenciamento de conteúdo HAX através do endpoint da API haxPsuUsage. Isso permite que qualquer usuário remoto não autenticado recupere uma lista completa dos sites da PSU hospedados no HAX CMS. Quando combinado com outras falhas de autorização, isso poderia facilitar ataques direcionados, como modificação ou exclusão não autorizada de conteúdo.

Recomendações Para as versões do HAX open-apis até e incluindo a 10.0.2, aplique o patch do commit 06c2e1fbb7131a8fe66aa0600f38dcacae6b7ac7 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API haxPsuUsage até que o patch seja aplicado.

Exploit

Correção

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2025-48996

GHSA-FVX2-X7FF-FC56

Produtos afetados

Hax Cms

Hax Open-Apis

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48996.json · Exploit
• https://github.com/haxtheweb/issues · Nota
• https://github.com/haxtheweb/issues/security/advisories/GHSA-fvx2-x7ff-fc56 · Nota
• https://github.com/haxtheweb/open-apis/commit/06c2e1fbb7131a8fe66aa0600f38dcacae6b7ac7 · Nota
• https://twitter.com/CVEnew/status/1929624877579096074 · Publicação no Twitter
• https://t.me/cvetracker/25219 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-48996 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fvx2-x7ff-fc56 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48996 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1929686180108308624 · Publicação no Twitter