CVE-2026-46391: falha de alta gravidade em haxtheweb @haxtheweb/open-apis
HAX open-apis: Credential Theft via Server-Side Request Forgery (SSRF) in open-apis
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.7epss 0.5%
da publicação à armano mesmo dia
Publicada no NVD5 de jun.
1ª PoC14 de mai.
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Starting in version 9.0.1 and prior to version 26.0.0 of @haxtheweb/open-apis, multiple functions conduct substring-only matching to validate hostnames to which basic authorization should be sent. An attacker can append the matched substrings to an attacker-controlled endpoint and capture authentication. Version 26.0.0 fixes the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N
Produtos afetados
haxtheweb · @haxtheweb/open-apisPoCs públicas encontradas — 1
githubgithub.com/bradyjmcl/cve-2026-46391★ 1⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.