PT-2025-30361 · Hax Cms · Hax Cms

Lfgberg + 1 · Publicado 2025-07-21 · Atualizado 2025-07-23 · CVE-2025-54139

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões 11.0.7 e anteriores do HAX CMS (PHP) Versões 11.0.12 e anteriores do HAX CMS (NodeJS)

Descrição O HAX CMS não inclui cabeçalhos para impedir que sites carreguem o aplicativo dentro de um iframe. Isso afeta tanto o CMS quanto os sites gerados. Um atacante não autenticado pode carregar funcionalidades sensíveis, como a página de login, dentro de um iframe, permitindo um ataque de redirecionamento de interface (clickjacking). Isso pode ser usado para realizar ataques de engenharia social para coagir usuários a realizar ações não intencionais.

Recomendações Versões 11.0.7 e anteriores do HAX CMS (PHP): Atualize para a versão 11.0.8 ou posterior. Versões 11.0.12 e anteriores do HAX CMS (NodeJS): Atualize para a versão 11.0.13 ou posterior.

Exploit

Correção

Clickjacking

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

CVE-2025-54139

GHSA-54VW-F4XF-F92J

Produtos afetados

Hax Cms

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54139.json · Exploit
• 🔥 https://github.com/haxtheweb/issues/security/advisories/GHSA-54vw-f4xf-f92j · Exploit
• https://github.com/haxtheweb/haxcms-php/commit/708dc8518928fe307044e67bff8b0f397cfdd606 · Correção
• https://github.com/haxtheweb/issues · Nota
• https://github.com/haxtheweb/haxcms-nodejs/commit/777f9a7ff9675a160496f350d766df1f1f9b9b99 · Correção
• https://t.me/cvetracker/28439 · Publicação no Telegram
• https://t.me/CVEtracker/28439 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1947837530285445352 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-54vw-f4xf-f92j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1947808269831180381 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-54139 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-54139 · Aviso do Fabricante