Katalog podatności CVE

Wersja 4.5.0 SpringBlade zawiera nieprawidłowe zabezpieczenia dostępu w funkcji importUser, co pozwala atakującym z niskimi uprawnieniami na dowolne importowanie wrażliwych danych użytkowników.

Podatność wstrzykiwania poleceń w Apache Continuum (wszystkie wersje). Atakujący z dostępem do API REST instalacji może wywoływać dowolne polecenia na serwerze. Projekt jest wycofany, więc nie planuje się wydania poprawki.

Domyślnie hasło do interfejsu webowego Access Managera jest ustawione na 'admin'. W testowanej wersji zmiana hasła nie była wymuszana.

Access Manager 92xx w rewizji sprzętowej K7 działa na systemie Linux zamiast Windows CE. W tej wersji wykryto usługę SSH na porcie 22 z dwoma użytkownikami mającymi zakodowane na stałe i słabe hasła, które można łatwo odgadnąć. Hasła są losowane tylko wtedy, gdy data urządzenia jest ustawiona przed 2022 rokiem, więc w niektórych sytuacjach (np. brak ustawionego zegara) hasła pozostają niezmienione.

Aplikacja exos 9300 umożliwia konfigurację Access Managerów przez interfejs graficzny. Po kliknięciu przycisku zapisu cała konfiguracja jest wysyłana do wybranego Access Managera przez SOAP bez żadnego uwierzytelnienia ani autoryzacji domyślnie. Opcjonalne zabezpieczenia (IPsec, mTLS) nie są domyślnie włączone.

Wykryto wiele zakodowanych na stałe poświadczeń, które umożliwiają logowanie do serwera datapoint exos 9300 na portach 1004 i 1005. Serwer ten przesyła informacje o stanie Access Managerów, a także umożliwia sterowanie nimi, w tym otwieranie drzwi.

Na serwerze exos 9300 dostępne jest API SOAP na porcie 8002, które nie wymaga uwierzytelnienia. Dzięki temu osoba z dostępem do sieci może tworzyć dowolne zdarzenia dziennika dostępu oraz odpytywać kody PIN 2FA powiązane z kartami chipowymi.

Wtyczka Kalrav AI Agent dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w akcji AJAX kalrav_upload_file we wszystkich wersjach do i włącznie z 2.3.3. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Strona internetowa zawierająca nietypowy kod shaderów GPU, załadowana z Internetu do procesu kompilatora GPU, powoduje awarię typu use-after-free w bibliotece kompilatora shaderów GPU. Na niektórych platformach, gdy proces kompilatora ma uprawnienia systemowe, może to umożliwić dalsze exploity na urządzeniu.

ChatterMate to framework agenta czatu AI bez kodu. W wersjach 1.0.8 i poniżej, chatbot akceptuje i wykonuje złośliwe ładunki HTML/JavaScript dostarczane jako wejście czatu, co pozwala na dostęp do wrażliwych danych po stronie klienta.

Podatność związana z twardo zakodowanym kluczem kryptograficznym w Salesforce Marketing Cloud Engagement umożliwia manipulację protokołem usług internetowych. Problem ten dotyczy modułów takich jak CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center oraz View As Webpage.

Podatność związana z użyciem uszkodzonego lub ryzykownego algorytmu kryptograficznego w Salesforce Marketing Cloud Engagement umożliwia manipulację protokołem usług internetowych. Problem ten dotyczy modułów takich jak CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center oraz View As Webpage i występuje przed 21 stycznia 2026 roku.

Podatność CVE-2026-22583 dotyczy niewłaściwej neutralizacji ograniczników argumentów w komendzie, co prowadzi do możliwości manipulacji protokołem usług internetowych w module CloudPagesUrl Salesforce Marketing Cloud Engagement. Problem ten dotyczy wersji przed 21 stycznia 2026 roku.

Podatność CVE-2026-22582 dotyczy niewłaściwej neutralizacji ograniczników argumentów w module MicrositeUrl Salesforce Marketing Cloud Engagement, co umożliwia manipulację protokołem usług internetowych. Problem ten dotyczy wersji Marketing Cloud Engagement przed 21 stycznia 2026 roku.

Podatność zdalnego wykonania kodu (RCE) w aplikacji Sourcecodester Modern Image Gallery App v1.0 w komponencie gallery/upload.php. Aplikacja nie waliduje poprawnie zawartości przesyłanych plików i zachowuje rozszerzenie pliku podane przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu przesłać dowolny kod PHP, podszywając się pod typ MIME obrazu, prowadząc do pełnego przejęcia systemu.

Podatność SQL Injection w punkcie końcowym GetServiceByRestaurantID platformy POS gemscms firmy Aptsys (do 2025-05-28) pozwala atakującemu na wstrzyknięcie i wykonanie dowolnego kodu SQL poprzez parametr id, co wynika z braku sanityzacji i parametryzacji zapytań.

Podatność w module Web Services platformy Aptsys POS do 2025-05-28 ujawnia wewnętrzne narzędzia testowania API nieuwierzytelnionym użytkownikom. Poprzez dostęp do konkretnych URL-i atakujący widzi indeks katalogu z listą wszystkich dostępnych usług backendowych i POS, każdą z formularzem HTML do testowania. Te panele, przeznaczone dla programistów, są dostępne w środowiskach produkcyjnych bez uwierzytelniania.

Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.

Wersja 4.5.0 SpringBlade zawiera błąd w kontroli dostępu w funkcji authRoutes, który pozwala atakującym z niskimi uprawnieniami na eskalację uprawnień.