PT-2026-41974 · Haxtheweb+1 · @Haxtheweb/Open-Apis

CVE-2026-46391 · Publicado 2026-05-19 · Atualizado 2026-06-06

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas @haxtheweb/open-apis versões 9.0.1 até 25.x

Description Múltiplas funções realizam a correspondência apenas de substrings para validar nomes de host para os quais a autorização básica deve ser enviada. Isso permite que um invasor anexe as substrings correspondentes a um endpoint controlado por ele para capturar credenciais de autenticação e exfiltrar segredos internos. O problema reside na lógica utilizada para verificar nomes de sites codificados no seguinte arquivos:

• api/services/website/cacheAddress.js
• api/apps/haxcms/lib/JOSHelpers.js
• api/apps/haxcms/convert/elmslnToSite.js

Recommendations Atualizar para a versão 26.0.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

CWE-183

Identificadores relacionados

CVE-2026-46391

GHSA-4FG7-F244-3J49

Produtos afetados

@Haxtheweb/Open-Apis

Referências · 8

• 🔥 https://github.com/haxtheweb/issues/security/advisories/GHSA-4fg7-f244-3j49 · Exploit
• https://github.com/haxtheweb/issues · Nota
• https://twitter.com/infoflowcloud/status/2063205785052582328 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2063119488023740665 · Publicação no Twitter
• https://t.me/CVEtracker/55991 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-46391 · Nota de Segurança
• https://twitter.com/CVEnew/status/2063205038525239707 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-4fg7-f244-3j49 · Aviso do Fabricante