🇰🇷 한글 설명
HAX CMS 26.0.0 이전 버전은 로그아웃 후에도 인증 토큰이 유효한 세션 종료 오류를 가지고 있습니다. 공격자가 유효한 토큰을 획득하면 intended 세션 종료 메커니즘을 우회하여 CMS에 대한 지속적인 접근 권한을 유지할 수 있습니다.
💡 쉬운 설명
로그아웃을 해도 시스템이 사용자를 제대로 로그아웃 처리하지 않는 취약점입니다. 해커가 로그인 정보를 빼앗으면 로그아웃 후에도 계속 사이트에 접속할 수 있게 됩니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Versions prior to 26.0.0 suffer from an improper session termination vulnerability where authentication tokens remain valid after user logout. This allows attackers who obtain valid tokens to maintain persistent access to authenticated CMS functionality, bypassing the intended session termination mechanism and enabling unauthorized access to CMS metadata and administrative functions. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
HAX CMS versions prior to 26.0.0
⚔️ 공격 벡터
Valid authentication token obtained through interception or theft
🛡️ 대응 방법
Upgrade to HAX CMS version 26.0.0 or later
🔧 검증 코드
출력된 버전 번호가 26.0.0 미만인 경우 취약한 것으로 판단하며, 26.0.0 이상이면 패치된 상태입니다.
grep -r 'version' /path/to/haxcms/config.php 2>/dev/null | grep -E '[0-9]+\.[0-9]+\.[0-9]+'