CVE-2026-46392

Nome do Software Vulnerável e Versões Afetadas HAX CMS PHP versões anteriores a 26.0.0

Descrição O endpoint saveFile valida as extensões de upload de forma insensível a maiúsculas e minúsculas e grava o nome do arquivo no disco literalmente. No entanto, a regra .htaccess projetada para forçar Content-Disposition: attachment em arquivos HTML é sensível a maiúsculas e minúsculas. Isso permite que um invasor faça o upload de um arquivo HTML usando uma extensão em maiúsculas, como .HTML, .Html ou .HTM. Como o cabeçalho de download forçado não se aplica a essas extensões, o navegador renderiza o arquivo como text/html e executa o JavaScript incorporado na origem do HAXcms.

Recomendações Atualizar para a versão 26.0.0.