NodeJS version of HAX CMS Has Insecure Default Configuration That Leads to Unauthenticated Access
Summary
The NodeJS version of HAX CMS uses an insecure default configuration designed for local development. The default configuration does not perform authorization or authentication checks.
Details
If a user were to deploy haxcms-nodejs without modifying the default settings, ‘HAXCMS_DISABLE_JWT_CHECKS‘ would be set to ‘true‘ and their deployment would lack session authentication.
Affected Resources
PoC
To reproduce this vulnerability, install HAX CMS NodeJS. The application will load without JWT checks enabled.
Impact
Without security checks in place, an unauthenticated remote attacker could access, modify, and delete all site information.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @haxtheweb/haxcms-nodejs | < 11.0.7 | 11.0.7 |
Referencias
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-1188- Plataforma
- npm
- Paquete
@haxtheweb/haxcms-nodejs- Publicada
- 21.07.2025
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-f38f-jvqj-mfg6 - CC BY 4.0
Historial de vulnerabilidades: @haxtheweb/haxcms-nodejs
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 16
- Primera → última
- 06.2025 05.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 10
- Media 4
Divulgaciones por año
- 2025: 8
- 2026: 8
-
NodeJS version of HAX CMS Has Insecure Default Configuration That Leads to Unauthenticated Access esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.