CVE Vulnerability Catalog

Podatność CVE-2025-50001 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w tagDiv Composer, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 5.4.2 włącznie.

Podatność na obejście uwierzytelnienia za pomocą alternatywnej ścieżki lub kanału w Themepaste Admin Safety Guard umożliwia wykorzystanie odzyskiwania hasła. Problem ten dotyczy wersji Admin Safety Guard od n/a do 1.2.6 włącznie.

W Metagauss EventPrime występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EventPrime od n/a do 4.2.8.3 włącznie.

Wersje HCL Unica Marketing Operations v12.1.8 i niższe zawierają podatność na przechowywane ataki typu cross-site scripting (XSS). Atak ten występuje, gdy aplikacja otrzymuje dane z nieufnego źródła i włącza te dane do późniejszych odpowiedzi HTTP w sposób niebezpieczny.

Podatność CVE-2026-27093 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wersjach Tripgo od n/a do poniżej 1.5.6.

Podatność CVE-2026-28073 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Tips and Tricks HQ WP eMember, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji WP eMember od n/a do 10.2.2.

Podatność na deserializację niezaufanych danych w motywie WordPress ColorFolio od BuddhaThemes umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji motywu od n/a do 1.3.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'fh' (odcisk palca) we wszystkich wersjach do 5.3.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na wstrzykiwanie poleceń w narzędziu Lobster, które wykorzystuje powrotną obsługę powłoki Windows z ustawieniem shell: true po nieudanych próbach uruchomienia. Atakujący mogą wstrzykiwać metaznaki powłoki w argumentach poleceń, co pozwala na wykonanie dowolnych poleceń w przypadku błędów EINVAL lub ENOENT.

Wersje OpenClaw 2026.2.22 i 2026.2.23 zawierają podatność na obejście autoryzacji w wtyczce kanału synology-chat, gdzie polityka dmPolicy ustawiona na allowlist z pustymi allowedUserIds nie działa poprawnie. Atakujący z dostępem do nadawcy Synology mogą obejść kontrole autoryzacji i wywołać nieautoryzowane działania agenta oraz narzędzi downstream.

Wersje OpenClaw przed 2026.2.19 zawierają lokalną podatność na wstrzykiwanie poleceń w skryptach zadań zaplanowanych w systemie Windows, spowodowaną niebezpiecznym przetwarzaniem metaznaków cmd oraz znaków wrażliwych na rozwinięcie w plikach gateway.cmd. Lokalni atakujący mogą wstrzykiwać dowolne polecenia, dostarczając wartości zawierające tylko metaznaki lub sekwencje CR/LF.

Wersje OpenClaw przed 2026.2.23 zawierają podatność na obejście listy dozwolonych w system.run, która pozwala uwierzytelnionym operatorom na wykonywanie niezamierzonych poleceń. Gdy /usr/bin/env jest na liście dozwolonych, atakujący mogą użyć env -S, aby obejść analizę polityki i wykonać ładunki powłoki w czasie rzeczywistym.

Wersje OpenClaw przed 2026.3.1 zawierają podatność typu server-side request forgery (SSRF) w mechanizmie rozwiązywania przekierowań cytatów w web_search. Atakujący, który może wpływać na cele przekierowań, może wywołać wewnętrzne żądania sieciowe z hosta OpenClaw do lokalnych, prywatnych lub wewnętrznych adresów.

Wersje OpenClaw przed 2026.3.1 zawierają podatność na nieograniczony wzrost pamięci w punkcie końcowym webhooka Zalo, co pozwala nieautoryzowanym atakującym na akumulację kluczy w pamięci poprzez różnicowanie ciągów zapytań. Atakujący zdalni mogą wykorzystać to, wysyłając powtarzające się żądania z różnymi parametrami zapytań.

W wersjach OpenClaw przed 2026.2.22 występuje podatność na obejście listy dozwolonych poleceń w system.run, która pozwala atakującym na wykonywanie poleceń nieznajdujących się na liście dozwolonych. Atakujący mogą obejść analizę bezpieczeństwa, wstrzykując $\, a następnie nową linię i otwierający nawias w podwójnych cudzysłowach.

Wersje OpenClaw przed 2026.2.22 zawierają podatność na obejście listy dozwolonych, która występuje w analizie system.run exec. Problem polega na tym, że nieprawidłowo rozpakowuje łańcuchy wrapperów env i shell-dispatch.

Kan to narzędzie do zarządzania projektami typu open-source. W wersjach 0.5.4 i poniżej, punkt końcowy /api/download/attatchment nie wymaga uwierzytelnienia i nie przeprowadza walidacji URL, co pozwala na nieautoryzowany dostęp do wewnętrznych usług.

Romeo umożliwia osiągnięcie wysokiego pokrycia kodu aplikacji Go ≥1.20, wspierając pomiar pokrycia kodu dla testów funkcjonalnych i integracyjnych w GitHub Actions. W wersji przed 0.2.2 funkcja `sanitizeArchivePath` w pliku `webserver/api/v1/decoder.go` jest podatna na obejście ścieżki z powodu braku końcowego separatora ścieżki w sprawdzeniu `strings.HasPrefix`, co pozwala na zapis plików poza zamierzonym katalogiem docelowym.

ApostropheCMS to otwartoźródłowy framework do zarządzania treścią. W wersjach przed 4.28.0, middleware uwierzytelniania tokenów w `@apostrophecms/express/index.js` zawiera błędne zapytanie MongoDB, które pozwala na użycie niekompletnych tokenów logowania jako w pełni uwierzytelnionych tokenów.

Parse Server, otwarte oprogramowanie backendowe, przed wersjami 9.6.0-alpha.21 i 8.6.45, pozwalało nieautoryzowanym atakującym na zablokowanie procesu serwera poprzez wysłanie pojedynczego żądania z głęboko zagnieżdżonymi operatorami warunków zapytania. To prowadziło do przerwania działania serwera i odmowy usługi dla wszystkich podłączonych klientów.