CVE Vulnerability Catalog

By default, the password for the Access Manager's web interface is set to 'admin'. In the tested version, changing the password was not enforced.

Access Manager 92xx in hardware revision K7 runs Linux instead of Windows CE. An SSH service on port 22 exposes two users with hardcoded weak passwords that are easy to guess. Passwords are randomized only if the device date is set before 2022, so under certain conditions (e.g., unset clock) they remain unchanged.

The exos 9300 application configures Access Managers via a GUI. When saving, the whole configuration is sent via SOAP without any authentication or authorization by default. Optional security (IPsec, mTLS) is not enabled by default.

Multiple hardcoded credentials allow login to the exos 9300 datapoint server on ports 1004 and 1005. This server relays status information and can also control Access Managers, including opening doors.

The exos 9300 server exposes a SOAP API on port 8002 without authentication. This allows network attackers to create arbitrary access log events and query 2FA PINs associated with enrolled chip cards.

Wtyczka Kalrav AI Agent dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w akcji AJAX kalrav_upload_file we wszystkich wersjach do i włącznie z 2.3.3. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

A web page with unusual GPU shader code loaded into the GPU compiler process triggers a write use-after-free crash in the GPU shader compiler library. On certain platforms with system privileges, this could enable further exploits.

ChatterMate to framework agenta czatu AI bez kodu. W wersjach 1.0.8 i poniżej, chatbot akceptuje i wykonuje złośliwe ładunki HTML/JavaScript dostarczane jako wejście czatu, co pozwala na dostęp do wrażliwych danych po stronie klienta.

A hard-coded cryptographic key vulnerability in Salesforce Marketing Cloud Engagement allows for web services protocol manipulation. This issue affects modules such as CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center, and View As Webpage.

Podatność związana z użyciem uszkodzonego lub ryzykownego algorytmu kryptograficznego w Salesforce Marketing Cloud Engagement umożliwia manipulację protokołem usług internetowych. Problem ten dotyczy modułów takich jak CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center oraz View As Webpage i występuje przed 21 stycznia 2026 roku.

Podatność CVE-2026-22583 dotyczy niewłaściwej neutralizacji ograniczników argumentów w komendzie, co prowadzi do możliwości manipulacji protokołem usług internetowych w module CloudPagesUrl Salesforce Marketing Cloud Engagement. Problem ten dotyczy wersji przed 21 stycznia 2026 roku.

Podatność CVE-2026-22582 dotyczy niewłaściwej neutralizacji ograniczników argumentów w module MicrositeUrl Salesforce Marketing Cloud Engagement, co umożliwia manipulację protokołem usług internetowych. Problem ten dotyczy wersji Marketing Cloud Engagement przed 21 stycznia 2026 roku.

A Remote Code Execution (RCE) vulnerability exists in Sourcecodester Modern Image Gallery App v1.0 in gallery/upload.php. The application fails to validate file contents and preserves user-supplied extensions, allowing unauthenticated attackers to upload arbitrary PHP code by spoofing MIME type, leading to full system compromise.

An SQL Injection vulnerability in the GetServiceByRestaurantID endpoint of the Aptsys gemscms POS Platform (up to 2025-05-28) allows an attacker to inject and execute arbitrary SQL code via the id parameter due to lack of input sanitization and parameterization.

A vulnerability in the Aptsys POS Platform Web Services module through 2025-05-28 exposes internal API testing tools to unauthenticated users. By accessing specific URLs, an attacker sees a directory index listing all backend and POS web services, each with an HTML form for test input. These developer panels are accessible in production without authentication.

Incorrect access control in the update function of RuoYi v4.8.2 allows unauthorized attackers to arbitrarily modify data outside their scope.

Wersja 4.5.0 SpringBlade zawiera błąd w kontroli dostępu w funkcji authRoutes, który pozwala atakującym z niskimi uprawnieniami na eskalację uprawnień.

An improper certificate validation vulnerability in ToDesktop Builder v0.32.1 allows an unauthenticated on-path attacker to spoof backend responses by exploiting insufficient certificate validation.

W Dynamicweb przed wersją 9.12.8 odkryto problem, który pozwala atakującemu na dodanie nowego użytkownika administratora bez autoryzacji. Wadliwość ta wynika z błędu logicznego przy określaniu, czy etapy konfiguracji produktu mogą być uruchamiane ponownie.