p PatchFirst

CVE-2025-49141

CVE-2025-49141 · HaxCMS-PHP Command Injection Vulnerability

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

HAX CMS PHP allows users to manage their microsite universe with a PHP backend. Prior to version 11.0.3, the `gitImportSite` functionality obtains a URL string from a POST request and insufficiently validates user input. The `set_remote` function later passes this input into `proc_open`, yielding OS command injection. An authenticated attacker can craft a URL string that bypasses the validation checks employed by the `filter_var` and `strpos` functions in order to execute arbitrary OS commands on the backend server. The attacker can exfiltrate command output via an HTTP request. Version 11.0.3 contains a patch for the issue.

CVSS 8.6 · Высокий · EPSS 1,5% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • issues

    Версии
    • < 11.0.3: Затронуто

    Нет опубликованного исправления

  • @haxtheweb/haxcms-nodejs npm

    Затронутые диапазоны версий
    • SEMVER: < 11.0.3

    Обновитесь до 11.0.3

Первоисточники

Проверьте свой сервер →