🇰🇷 한글 설명
HAX CMS의 26.0.0 이전 버전에서 인증된 공격자가 createSite 엔드포인트를 통해 특수 제작된 사이트 생성 요청을 보내면 NodeJS 애플리케이션이 충돌합니다. 이 단일 요청으로 애플리케이션 전체가 다운되며, 서비스를 복구하려면 수동으로 서버를 재시작해야 합니다.
💡 쉬운 설명
허가된 사용자가 잘못된 요청을 보내면 웹사이트 관리 시스템이 갑자기 멈추고 마비됩니다. 시스템이 다시 작동하려면 관리자가 직접 서버를 재부팅해야 합니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Prior to version 26.0.0, the HAX CMS NodeJS application crashes when an authenticated attacker sends a specially crafted site creation request to the createSite endpoint. A single request is sufficient to take the entire application offline, requiring a manual server restart to restore service. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
HAX CMS NodeJS application version < 26.0.0
⚔️ 공격 벡터
인증된 사용자가 createSite 엔드포인트로 특수 제작된 사이트 생성 요청 전송
🛡️ 대응 방법
HAX CMS를 버전 26.0.0 이상으로 업그레이드하여 취약점 해결
🔧 검증 코드
출력된 버전 번호가 26.0.0 미만인 경우 취약한 것으로 판단하며, 26.0.0 이상이면 안전한 상태입니다.
npm list haxcms 2>/dev/null | grep -E 'haxcms@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server