Vulnérabilité dans @haxtheweb/open-apis (CVE-2026-46391)
Résumé
Vulnérabilité dans @haxtheweb/open-apis (CVE-2026-46391). Risque d'opérations non autorisées ou de divulgation. Exploitable via cloudflared. Atténuation : mise à jour vers 26.0.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Multiple functions conduct substring-only matching to validate hostnames to which basic authorization should be sent. An attacker can append the matched substrings to an attacker-controlled endpoint and capture authentication.
Details
api/services/website/cacheAddress.js, api/apps/haxcms/lib/JOSHelpers.js, and api/apps/haxcms/convert/elmslnToSite.js use similar logic to check for hard-coded site names. However, the logic only looks for the substring to be included in the user-controlled string, allowing an attacker to craft an API call and extract the credentials intended for the hard-coded domains.
PoC
Making API calls to an affected endpoint will result in credential theft. The attacker-controlled domains in these proofs of concept are cloudflared tunnels, protecting the production credentials from unencrypted exposure.
cacheAddress.js:
elmslnToSite.js:
JOSHelpers.js:
Impact
This vulnerability allows internal data, including secrets, to be exfiltrated to an attacker-controlled domain. Credentials were confirmed with the maintainer to grant access to unreleased LM…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-46391 a été découverte dans @haxtheweb/open-apis.
Des attaquants peuvent cibler un point d'entrée spécifique comme cloudflared à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour @haxtheweb/open-apis vers 26.0.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @haxtheweb/open-apis CVE-2026-46391 » sur le site de l'éditeur.
CVE-2026-46391 (@haxtheweb/open-apis) — CWE-183
Surface d'attaque : cloudflared
Correctif : 26.0.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-183) affecte @haxtheweb/open-apis. Les attaquants atteignent le code vulnérable via cloudflared.
Consultez l'avis de l'éditeur pour les versions affectées de @haxtheweb/open-apis. Surface d'attaque : cloudflared.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 26.0.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r '@haxtheweb/open-apis' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
@haxtheweb/open-apisを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade @haxtheweb/open-apis to 26.0.0ステージング環境で 26.0.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com