CVE-2026-48527
CVE-2026-48527 · HaxCMS has a stored Cross-Site Scripting (XSS) bypass in saveNode endpoint
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Versions up to and including 26.0.0 are affected by a stored cross-site scripting (XSS) vulnerability in the `/system/api/saveNode` endpoint. An authenticated user with a permission to edit pages can bypass the HTML sanitizer by injecting an event handler attribute without whitespace before the attribute name. @haxtheweb/haxcms-nodejs 26.0.1 and haxcms-php 26.0.2 patch the issue.
CVSS 8.7 · Alta · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
haxcms-nodejs
- Versiones
- < 26.0.1: Afectada
Sin corrección publicada
haxcms-php
- Versiones
- < 26.0.2: Afectada
Sin corrección publicada
@haxtheweb/haxcms-nodejs npm
- Intervalos de versiones afectados
- SEMVER: < 26.0.1
Actualiza a 26.0.1