CVE Vulnerability Catalog

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. Przed wersjami 7.15.1 i 8.9.3 występowała podatność na zdalne wykonanie kodu (RCE) w modułach SuiteCRM. Wersje 7.15.1 i 8.9.3 naprawiają ten problem.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersji 7.15.0 występuje podatność na refleksyjną iniekcję HTML na stronie logowania, co pozwala atakującym na wstrzykiwanie dowolnej treści HTML, umożliwiając ataki phishingowe oraz zniekształcenie strony. Wersja 7.15.1 naprawia ten problem.

SuiteCRM to otwartoźródłowe oprogramowanie do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3 funkcja `retrieve()` w pliku `include/OutboundEmail/OutboundEmail.php` nie neutralizuje poprawnie parametru `$id` kontrolowanego przez użytkownika, co prowadzi do możliwości wykonania ataku SQL injection przez uwierzytelnionego użytkownika.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. Wersje przed 7.15.1 i 8.9.3 zawierają podatność typu Server-Side Request Forgery (SSRF) połączoną z warunkiem Denial of Service (DoS) w komponencie RSS Feed Dashlet. Wersje 7.15.1 i 8.9.3 naprawiają ten problem.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3, parametr `field_function` z danych POST jest zapisywany bez walidacji w tabeli `aor_fields`, co prowadzi do drugorzędnej podatności na wstrzyknięcie SQL przy wykonywaniu raportów.

Aplikacje Spring Boot z włączonym Actuatorem mogą być podatne na lukę 'obejście uwierzytelnienia', gdy punkt końcowy aplikacji wymagający uwierzytelnienia jest zadeklarowany pod określoną ścieżką, która jest już skonfigurowana dla dodatkowej ścieżki Grupy Zdrowia. Problem ten dotyczy wersji Spring Boot: od 4.0 przed 4.0.3, od 3.5 przed 3.5.11, od 3.4 przed 3.4.15.

A security issue was discovered in ingress-nginx where a combination of Ingress annotations can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller.

SiYuan to system zarządzania wiedzą osobistą. W wersjach 3.6.0 i poniżej, punkt końcowy WebSocket (/ws) pozwala na nieautoryzowane połączenia przy użyciu określonych parametrów URL, co umożliwia zewnętrznym klientom, w tym złośliwym stronom, połączenie i odbieranie wszystkich zdarzeń push serwera w czasie rzeczywistym.

Wersje OpenClaw przed 2026.2.21 zawierają podatność na obejście uwierzytelniania w interfejsie sterowania, gdy opcja allowInsecureAuth jest włączona, a brama jest wystawiona na niezaszyfrowanym HTTP. Umożliwia to atakującym ominięcie weryfikacji tożsamości urządzenia i parowania.

Wersje OpenClaw przed 2026.2.22 zawierają podatność na wykonanie dowolnych poleceń w powłoce, wynikającą z zaufania do niezweryfikowanej ścieżki SHELL z hosta. Atakujący z dostępem do lokalnego środowiska może wstrzyknąć złośliwą zmienną SHELL, co pozwala na wykonanie dowolnych poleceń z uprawnieniami procesu OpenClaw.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na przejście ścieżki w funkcji stageSandboxMedia, która akceptuje dowolne absolutne ścieżki, gdy włączone jest pobieranie zdalnych załączników iMessage. Atakujący, który może manipulować metadanymi ścieżki załącznika, może ujawnić pliki dostępne dla procesu OpenClaw na skonfigurowanym zdalnym hoście za pomocą SCP.

Wersje OpenClaw przed 2026.2.25 zawierają lukę w zabezpieczeniach uwierzytelniania w klientach WebSocket pochodzących z przeglądarki, co pozwala atakującym na ominięcie kontroli pochodzenia i ograniczeń uwierzytelniania w wdrożeniach loopback. Atakujący może nakłonić użytkownika do otwarcia złośliwej strony internetowej i przeprowadzić ataki brute-force na hasła przeciwko bramie, aby ustanowić uwierzytelnioną sesję operatora.

Wersje OpenClaw przed 2026.2.24 zawierają podatność na obejście mechanizmu zatwierdzania w trybie listy dozwolonych, gdzie zagnieżdżone przezroczyste opakowania dispatch mogą tłumić wykrywanie opakowań powłoki. Atakujący mogą wykorzystać tę podatność, łącząc wiele opakowań dispatch, aby wykonać polecenia /bin/sh -c bez wywoływania oczekiwanego komunikatu zatwierdzenia.

Wersje OpenClaw przed 2026.2.22 zawierają niekompletną walidację specjalnych zakresów IPv4 w funkcji isPrivateIpv4(), co pozwala na ominięcie kontroli polityki SSRF dla żądań skierowanych do zarezerwowanych przez RFC zakresów. Atakujący z dostępem do tych zakresów mogą wykorzystać funkcjonalność web_fetch do uzyskania dostępu do zablokowanych adresów.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na obejście listy dozwolonych w polityce exec safeBins, co pozwala atakującym na zapis dowolnych plików przy użyciu ładunków z krótkimi opcjami. Atakujący mogą obejść walidację argumentów, dołączając krótkie opcje, takie jak -o, do dozwolonych binariów.

Wersje OpenClaw przed 2026.2.22 na macOS zawierają lukę w walidacji ścieżek w trybie listy dozwolonych, która pozwala lokalnym atakującym na uruchamianie nieautoryzowanych binarek poprzez wykorzystanie wpisów w liście dozwolonych opartych tylko na nazwach. Atakujący mogą uruchomić lokalne binarki o tej samej nazwie, takie jak ./echo, bez zatwierdzenia, gdy skonfigurowano security=allowlist i ask=on-miss.

Wersje OpenClaw 2026.1.21 i wcześniejsze przed 2026.2.19 zawierają podatność na przejęcie ścieżki w narzędziu tools.exec.safeBins. Umożliwia to atakującym ominięcie kontroli listy dozwolonych elementów poprzez kontrolowanie rozwiązywania ścieżki procesu.

Wersje OpenClaw przed 2026.2.26 zawierają podatność na fałszowanie metadanych, w której pola reconnect platform i deviceFamily są akceptowane od klienta bez związania ich z podpisem autoryzacji urządzenia. Atakujący z towarzyszącą tożsamością w zaufanej sieci może fałszować metadane reconnect, aby obejść polityki poleceń w oparciu o platformę i uzyskać dostęp do zastrzeżonych poleceń.

Wersje OpenClaw przed 2026.2.25 zawierają podatność na przejście przez symlink w metodach agents.files.get i agents.files.set, co pozwala na odczyt i zapis plików poza przestrzenią roboczą agenta. Atakujący mogą wykorzystać symlinkowane pliki z listy dozwolonych, aby uzyskać dostęp do dowolnych plików na hoście w ramach uprawnień procesu bramy.

Wersje OpenClaw przed 2026.3.2 zawierają podatność na odmowę usługi w obsłudze webhooków dla BlueBubbles i Google Chat, która polega na analizowaniu treści żądań przed przeprowadzeniem uwierzytelniania i walidacji podpisu. Nieautoryzowani atakujący mogą wykorzystać tę podatność, wysyłając wolne lub zbyt duże treści żądań, co prowadzi do wyczerpania zasobów parsera i obniżenia dostępności usługi.