HAX CMS помогает управлять вселенной микросайтов с помощью бэкэндов PHP или NodeJs. До версии 26.0.0 функция `hmacBase64(()` в бэкэнде HAXc…

HAX CMS помогает управлять вселенной микросайтов с помощью бэкэндов PHP или NodeJs. До версии 26.0.0 функция `hmacBase64(()` в бэкэнде HAXcms Node.js содержит две критические криптографические ошибки реализации, которые вместе позволяют любому неаутентифицированному злоумышленнику извлекать ключ частной подписи системы и создавать произвольные веб-токены админ-уровня JSON (JWT), позволяющие им получить полный доступ администратора с помощью одного запроса HTTP. Во-первых, функция передает буквальную строку «0» в качестве клавиши подписи HMAC вместо параметра клавиши, что делает так, чтобы каждый экземпляр HAXcms вычислял идентичные HMAC для одного и того же входа. Затем, после вычисления HMAC, функция конкатенирует реальный ключевой параметр, который является «this.privateKey + this.salt», секрет мастерской подписи системы непосредственно на выходе. Комбинированный буфер закодирован base64 и возвращен в качестве токена. Каждый произведенный токен base64url имеет одинаковую структуру: 32 байт HMAC с поддержкой «0» и N байтов «privateKey+salt`». Нападатель base64-декодирует любой токен, отбрасывает первые 32 байта и считывает закрытый ключ напрямую. '//system/api/connectionSettings` конечная точка не является аутентифицированной и возвращает несколько токенов, генерируемых этой функцией. Один запрос GET к этой конечной точке обнажает закрытый ключ. Бэкэнд PHP правильно реализует эту функцию с помощью фактического ключа и возвращает только хеш. PHP-версия производит 44-символьные токены, в то время как сломанная версия Node.js производит 139+ токенов символов. Версия 26.0.0 исправляет проблему.