NodeJS version of HAX CMS Has Disabled Content Security Policy That Enables Cross-Site Scripting
Summary
The NodeJS version of HAX CMS has a disabled Content Security Policy (CSP). This configuration is insecure for a production application because it does not protect against cross-site-scripting attacks.
Details
The contentSecurityPolicy value is explicitly disabled in the application's Helmet configuration in app.js.
Affected Resources
PoC
To reproduce this vulnerability, install HAX CMS NodeJS. The application will load without a CSP configured.
Impact
In conjunction with an XSS vulnerability, an attacker could execute arbitrary scripts and exfiltrate data, including session tokens and sensitive local data.
Additional Information
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @haxtheweb/haxcms-nodejs | < 11.0.8 | 11.0.8 |
Referencias
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:H/SC:L/SI:L/SA:N- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
@haxtheweb/haxcms-nodejs- Publicada
- 21.07.2025
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-59g8-h59f-8hjp - CC BY 4.0
Historial de vulnerabilidades: @haxtheweb/haxcms-nodejs
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 16
- Primera → última
- 06.2025 05.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 10
- Media 4
Divulgaciones por año
- 2025: 8
- 2026: 8
-
NodeJS version of HAX CMS Has Disabled Content Security Policy That Enables Cross-Site Scripting esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.