PT-2025-30345 · Unknown · Haxcms-Nodejs

Asareynolds · Publicado 2025-07-21 · Atualizado 2025-07-22 · CVE-2025-54128

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.2

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:H/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas HAX CMS NodeJs versões 11.0.7 e anteriores

Descrição O HAX CMS NodeJs permite aos usuários gerenciar seu universo de microsites com um backend NodeJs. A versão NodeJs do HAX CMS possui uma Política de Segurança de Conteúdo (CSP) desativada nas versões 11.0.7 e anteriores. Esta configuração não protege contra ataques de cross-site-scripting porque o valor contentSecurityPolicy está explicitamente desativado na configuração Helmet da aplicação em app.js.

Recomendações A versão 11.0.8 ou posterior do HAX CMS NodeJs deve ser utilizada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-54128

GHSA-59G8-H59F-8HJP

Produtos afetados

Haxcms-Nodejs

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54128.json · Exploit
• https://github.com/haxtheweb/issues/security/advisories/GHSA-59g8-h59f-8hjp · Nota
• https://github.com/haxtheweb/haxcms-nodejs/commit/ddb9351c6d6418008d4084a5b17fd6d611bc4e30 · Correção
• https://github.com/haxtheweb/haxcms-nodejs · Nota
• https://osv.dev/vulnerability/GHSA-59g8-h59f-8hjp · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1947471447741399226 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1947405328699822552 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-54128 · Aviso do Fabricante
• https://t.me/cvetracker/28334 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-54128 · Nota de Segurança