NodeJS version of HAX CMS Has Disabled Content Security Policy That Enables Cross-Site Scripting

中 6.1CVE-2025-54128 · GHSA-59g8-h59f-8hjp · 21/07/2025 公開 · 17/06/2026 更新

要点

CVE-2025-54128 は haxcms-nodejs (psu), @haxtheweb/haxcms-nodejs に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.23%（全脆弱性の 13.9% より高い）。
対処：11.0.8 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
haxcms-nodejs psu	`< 11.0.8`	`11.0.8`
@haxtheweb/haxcms-nodejs npm	`< 11.0.8`	`11.0.8`

概要

Summary

The NodeJS version of HAX CMS has a disabled Content Security Policy (CSP). This configuration is insecure for a production application because it does not protect against cross-site-scripting attacks.

Details

The contentSecurityPolicy value is explicitly disabled in the application's Helmet configuration in app.js.

Affected Resources

app.js:52

PoC

To reproduce this vulnerability, install HAX CMS NodeJS. The application will load without a CSP configured.

Impact

In conjunction with an XSS vulnerability, an attacker could execute arbitrary scripts and exfiltrate data, including session tokens and sensitive local data.

Additional Information

OWASP: Content Security Policy

NVD の説明

HAX CMS NodeJs allows users to manage their microsite universe with a NodeJs backend. In versions 11.0.7 and below, the NodeJS version of HAX CMS has a disabled Content Security Policy (CSP). This configuration is insecure for a production application because it does not protect against cross-site-scripting attacks. The contentSecurityPolicy value is explicitly disabled in the application's Helmet configuration in app.js. This is fixed in version 11.0.8.

参考情報

haxtheweb/issues security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2025-54128 · ADVISORY
haxtheweb/haxcms-nodejs commit ddb9351 · WEB
haxtheweb/haxcms-nodejs · PACKAGE

haxcms-nodejs のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

haxcms-nodejs

psu

< 11.0.8

11.0.8

@haxtheweb/haxcms-nodejs

npm