关键信息 漏洞概述 漏洞名称: Lack of Authorization Checks CVE ID: CVE-2015-5173 CVSS 评分: 8.3/10 严重性: High 影响的包和版本 Package: @haxtheweb/haxcms-nodejs (npm) - 受影响版本: <11.0.5 - 修复版本: 11.0.14 Package: haxcms-php (PHP) - 受影响版本: <11.0.5 - 修复版本: 11.0.5 漏洞描述 摘要: HAX CMS API端点在与资源交互时未执行授权检查。JS和PHP版本的CMS在执行操作之前不会验证用户是否有权限与资源进行交互。 影响: 认证攻击者可以发送请求与其他用户的站点和节点进行交互，从而枚举、修改和删除其他用户的站点和节点。此外，认证攻击者可以使用 端点来获取应用程序的配置，其中可能包含敏感凭据。 受影响的资源 POC（概念验证） 1. 浏览到目标站点的 文件，并记下要删除的项的ID。 2. 使用有效的JWT和目标对象ID向 端点发送POST请求。 示例 请求: 响应: 删除节点请求: 结果: 目标节点被成功删除。