PT-2026-2254 · Hax Cms · Hax Cms

August829 · Publicado 2026-01-10 · Atualizado 2026-06-05 · CVE-2026-22704

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões 11.0.6 a 24.x do HAX CMS Versões do HAX CMS anteriores à 25.0.0

Descrição O HAX CMS, que gerencia universos de microsites com backends em PHP ou Node.js, está sujeito a uma vulnerabilidade de cross-site scripting (XSS) armazenado. Esta falha permite potencialmente a tomada de conta. O problema afeta versões que utilizam backends em PHP ou Node.js. O XSS armazenado ocorre quando scripts maliciosos são injetados em um site e armazenados no servidor, permitindo que sejam executados quando outros usuários visitam as páginas afetadas.

Recomendações As versões 11.0.6 a 24.x do HAX CMS devem ser atualizadas para a versão 25.0.0 ou posterior. As versões do HAX CMS anteriores à 25.0.0 devem ser atualizadas para a versão 25.0.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-22704

GHSA-3FM2-XFQ7-7778

Produtos afetados

Hax Cms

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22704.json · Exploit
• 🔥 https://exploit-db.com/exploits/52526 · Exploit
• https://github.com/haxtheweb/issues · Nota
• https://github.com/haxtheweb/issues/security/advisories/GHSA-3fm2-xfq7-7778 · Aviso do Fabricante
• https://github.com/haxtheweb/haxcms-nodejs/commit/317a8ae29f88be389f7cfeffaef416957122d97e · Correção
• https://github.com/haxtheweb/haxcms-nodejs/releases/tag/v25.0.0 · Nota
• https://twitter.com/TheHackerWire/status/2009897931395023306 · Publicação no Twitter
• https://t.me/cveNotify/148344 · Publicação no Telegram
• https://twitter.com/pulsepatchio/status/2010357756805726543 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2009979352721568254 · Publicação no Twitter
• https://t.me/CVEtracker/55992 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2009891368450064722 · Publicação no Twitter
• https://t.me/cveNotify/151051 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-22704 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22704 · Nota de Segurança