CVE Vulnerability Catalog

The pyasn1 library prior to version 0.6.3 is vulnerable to a Denial of Service (DoS) attack due to uncontrolled recursion when decoding deeply nested ASN.1 structures. An attacker can craft a payload with thousands of nested SEQUENCE or SET tags with Indefinite Length markers, causing a stack overflow or memory exhaustion.

Biblioteka DiceBear do tworzenia awatarów miała podatność w funkcji `ensureSize()` przed wersją 9.4.0, która odczytywała atrybuty `width` i `height` z wejściowego SVG. Atakujący mógł dostarczyć spreparowane SVG z ekstremalnie dużymi wymiarami, co prowadziło do nadmiernego przydzielania pamięci i w rezultacie do odmowy usługi.

A flaw was found in Keycloak where a remote attacker can bypass security controls by sending a valid SAML response from an external Identity Provider (IdP) to the Keycloak SAML endpoint for IdP-initiated broker logins. This allows the attacker to complete broker logins even when the SAML Identity Provider is disabled, leading to unauthorized authentication.

A flaw in Keycloak's SAML broker endpoint fails to properly validate encrypted assertions when the overall SAML response is unsigned. An attacker with a valid signed assertion can inject an encrypted assertion for an arbitrary principal.

Kanboard to oprogramowanie do zarządzania projektami oparte na metodologii Kanban. W wersjach przed 1.2.51, punkt końcowy rejestracji zaproszeń użytkowników (`UserInviteController::register()`) akceptował wszystkie parametry POST i przekazywał je do `UserModel::create()` bez filtrowania pola `role`. Atakujący, który otrzyma link zaproszenia, może w formularzu rejestracyjnym wstrzyknąć `role=app-admin`, co pozwala na utworzenie konta administratora.

In ONNX library versions up to 1.20.1, a security control bypass exists in onnx.hub.load() due to improper logic in repository trust verification. Using the silent=True parameter suppresses all security warnings, enabling zero-interaction supply-chain attacks.

Wersje OpenClaw przed 2026.3.2 zawierają podatność na obejście DNS pinning w ścisłych ścieżkach pobierania URL, co pozwala atakującym na ominięcie zabezpieczeń SSRF, gdy skonfigurowane są zmienne środowiskowe proxy. Atakujący mogą kierować zainfekowane URL-e przez zachowanie proxy zamiast routingu do przypisanych celów.

Wersje OpenClaw przed 2026.2.22 w systemie macOS node-host system.run zawierają podatność na obejście listy dozwolonych poleceń, co pozwala zdalnym atakującym na wykonywanie poleceń, które nie znajdują się na liście dozwolonych. Atakujący mogą wykorzystać nieprawidłowe parsowanie tokenów substytucji poleceń, aby obejść zabezpieczenia.

Wersje OpenClaw przed 2026.2.23 zawierają lukę w zatwierdzaniu wykonania w trybie listy dozwolonej, która pozwala na obejście przyznanych uprawnień poprzez nieznane powłoki multiplexer, takie jak busybox i toybox sh -c. Atakujący mogą wykorzystać tę lukę, wywołując dowolne ładunki pod tym samym wrapperem multiplexer, aby spełnić zasady zapisane na liście dozwolonej.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na traversję ścieżek w procesie pobierania mediów Feishu, gdzie nieufne klucze mediów są interpolowane bezpośrednio w tymczasowe ścieżki plików. Atakujący, który może kontrolować wartości kluczy mediów Feishu zwracane do klienta, może wykorzystać segmenty traversji do ucieczki z os.tmpdir() i zapisywania dowolnych plików w ramach uprawnień procesu OpenClaw.

xiaoheiFS to samodzielnie hostowany system finansowy i operacyjny dla firm świadczących usługi w chmurze. W wersjach do 0.3.15, punkt końcowy `AdminPaymentPluginUpload` pozwala administratorom na przesyłanie dowolnych plików do `plugins/payment/`, sprawdzając jedynie hardcodowane hasło i ignorując zawartość pliku, co prowadzi do zdalnego wykonania kodu (RCE).

xiaoheiFS to samodzielnie hostowany system finansowy i operacyjny dla firm świadczących usługi w chmurze. W wersjach do 0.3.15 standardowy system wtyczek pozwala administratorom na przesyłanie plików ZIP zawierających binaria oraz `manifest.json`, co prowadzi do wykonania zdalnego kodu (RCE) z powodu braku walidacji zawartości pola `binaries` w manifeście.

Next.js, framework React do budowy aplikacji webowych, miał problem z nieograniczonym wzrostem pamięci podręcznej dla optymalizacji obrazów w wersjach od 10.0.0 do 16.1.6. Atakujący mógł generować wiele unikalnych wariantów obrazów, co prowadziło do wyczerpania przestrzeni dyskowej i odmowy usługi.

Next.js to framework React do budowy aplikacji webowych. W wersjach od 16.0.1 do 16.1.7, żądanie zawierające nagłówek `next-resume: 1` mogło buforować ciała żądań bez konsekwentnego egzekwowania limitu `maxPostponedStateSize`, co prowadziło do nadmiernego zużycia pamięci i potencjalnego odmowy usługi.

LDAP Account Manager (LAM) przed wersją 9.5 zawierał podatność na lokalne włączenie pliku w eksporcie PDF, co pozwalało użytkownikom na dołączenie lokalnych plików PHP i wykonanie kodu. W połączeniu z inną podatnością, możliwe było wykonanie dowolnego kodu po zalogowaniu się do LAM.

Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. Przed wersją 8.2.6.3 istniała podatność na wstrzykiwanie poleceń w punkcie końcowym `/config/compare/<service>/<server_ip>/show`, która pozwalała uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń systemowych na hoście aplikacji.

Wtyczka GLPI Inventory obsługuje odkrywanie sieci, inwentaryzację, wdrażanie oprogramowania oraz zbieranie danych dla agentów GLPI. Przed wersją 1.6.6, niesanitizowane dane wejściowe od użytkowników mogły prowadzić do wstrzyknięcia SQL w raportach, przy odpowiednich uprawnieniach.

Niechronione wewnętrzne punkty końcowe w Cloud Foundry Capi Release 1.226.0 i wcześniejszych oraz CF Deployment v54.9.0 i wcześniejszych na wszystkich platformach umożliwiają użytkownikom, którzy ominęli zaporę, potencjalne zastąpienie kropli, co pozwala na dostęp do zabezpieczonych informacji aplikacji.

IBM Sterling B2B Integrator oraz IBM Sterling File Gateway w wersjach od 6.1.0.0 do 6.1.2.7_2, 6.2.0.0 do 6.2.0.5_1, 6.2.1.0 do 6.2.1.1_1 oraz 6.2.2.0 umożliwiają zdalnemu, nieautoryzowanemu atakującemu przeglądanie i usuwanie partnerów społeczności oraz usuwanie społeczności.

IBM Sterling B2B Integrator oraz IBM Sterling File Gateway w wersjach od 6.1.0.0 do 6.1.2.7_2, 6.2.0.0 do 6.2.0.5_1, 6.2.1.0 do 6.2.1.1_1 oraz 6.2.2.0 mogą pozwolić nieautoryzowanemu atakującemu na wysłanie specjalnie przygotowanego żądania, które powoduje awarię aplikacji.