HAX CMS helps manage microsite universe with PHP or NodeJs backends. Prior to version 26.0.0, an attack chain utilizing Stored XSS alongside dynamic token exposure in the `/system/api/connectionSettings` endpoint allows an authenticated attacker to perform a complete cross-tenant account takeover. The API dynamically leaks the active session's authentication tokens (including the `jwt`, `user_toke

CVE-2026-7257 是 Zyxel WRE6505 v2 无线路由器/扩展器固件版本 V1.00(ABDV.3)C0 中的一个漏洞。该漏洞被标记为“UNSUPPORTED WHEN ASSIGNED”，意味着该产品已停止支持，不再接收安全更新。漏洞类型为敏感信息的不安全存储，位于设备的配置文件中。具有管理员权限的本地攻击者可以利用此漏洞下载并解密备份配置文件，从而获取包括密码、密钥等在内的敏感配置信息。CVSS 评分为 4.4（中等），攻击向量为本地，攻击复杂度低，需要高权限，影响机密性（高），不影响完整性和可用性。由于产品已停止支持，厂商不会发布补丁。建议用户立即停止使用该设备或升级到受支持的新型号。已确认未列入 CISA KEV 目录，且未有在野利用报告。