Vulnerabilidad en HAX CMS (CVE-2025-54378)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-285 Autorización incorrecta

Fecha de publicación:

26/07/2025

Última modificación:

21/08/2025

Descripción

HAX CMS permite gestionar el universo de micrositios con backends PHP o NodeJs. En las versiones 11.0.13 y anteriores de haxcms-nodejs y 11.0.8 y anteriores de haxcms-php, los endpoints de la API no realizan comprobaciones de autorización al interactuar con un recurso. Tanto la versión JS como la PHP del CMS no verifican que un usuario tenga permiso para interactuar con un recurso antes de realizar una operación. Los endpoints de la API dentro de la aplicación HAX CMS comprueban si un usuario está autenticado, pero no comprueban la autorización antes de realizar una operación. Esto se ha corregido en las versiones 11.0.14 de haxcms-nodejs y 11.0.9 de haxcms-php.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.30 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto