CVE Vulnerability Catalog

Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach przed 8.2.6.4 parametr oldconfig w interfejsie haproxy_section_save ma podatność na odczyt dowolnych plików.

Kirby allowed overriding permission options during creation of pages, files, and users by injecting custom dynamic blueprint configuration into model data. The injected options could include 'create' => true, bypassing permissions configured by the site developer. The issue was patched in versions 4.9.0 and 5.4.0 by filtering the blueprint property.

A vulnerability in Kirby CMS allowed users with the `pages.create` permission to create pages directly in published state via the REST API, bypassing the required `pages.changeStatus` permission. The issue affected versions prior to 4.9.0 and 5.4.0 and was fixed by changing how option queries are resolved in blueprints.

Kirby's Xml::value() method had special handling for CDATA blocks that could be tricked into allowing values containing a valid CDATA block along with other structured data outside it. This bypassed value protection in Xml::tag(), Xml::create(), and the XML data handler. The issue was patched in versions 4.9.0 and 5.4.0.

Podatność w interfejsie zarządzania siecią SenseLive X3050 pozwala na modyfikację krytycznych parametrów konfiguracyjnych systemu i sieci bez odpowiedniej walidacji i kontroli bezpieczeństwa. Niewystarczające egzekwowanie ograniczeń na wrażliwych funkcjach umożliwia ustawienie parametrów na wartości nieobsługiwane lub niebezpieczne.

W interfejsie zarządzania siecią SenseLive X3050 występuje podatność, w której aktualizacje haseł nie są niezawodnie stosowane z powodu niewłaściwego zarządzania zmianami poświadczeń w backendzie. Po przywróceniu ustawień fabrycznych za pomocą narzędzia SenseLive Config 2.0, interfejs może wskazywać, że aktualizacja hasła była udana, jednak system może nadal akceptować poprzednie lub domyślne poświadczenia.

Podatność w ekosystemie zarządzania SenseLive X3050 umożliwia nieautoryzowane odkrywanie wdrożonych jednostek za pomocą protokołu zarządzania dostawcy. Umożliwia to identyfikację obecności urządzeń, identyfikatorów oraz interfejsów zarządzania bez konieczności posiadania poświadczeń.

Xibo to otwartoźródłowa platforma do cyfrowego oznakowania, która ma podatność na wstrzykiwanie SQL w API odpowiedzialnym za filtrowanie zestawów danych. Wersje od 1.7 do 4.4.0 pozwalają uwierzytelnionym użytkownikom na uzyskanie i modyfikację dowolnych danych w bazie Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze filtra API.

Podatność w interfejsie zarządzania siecią SenseLive X3050 pozwala na wykonywanie operacji zmieniających stan bez odpowiednich zabezpieczeń przed atakami typu Cross-Site Request Forgery (CSRF). Brak weryfikacji pochodzenia żądań po stronie serwera oraz brak tokenów CSRF umożliwia złośliwej stronie internetowej skłonienie przeglądarki użytkownika do wysyłania nieautoryzowanych żądań konfiguracyjnych do urządzenia.

OpenClaw przed wersją 2026.3.28 zawiera lukę w zabezpieczeniach, która pozwala na obejście ochrony SSRF poprzez nieblokowanie czterech specjalnych zakresów IPv6. Atakujący mogą wykorzystać tę lukę, tworząc adresy URL skierowane na wewnętrzne lub nieroutowalne adresy IPv6.

OpenClaw przed wersją 2026.3.28 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym operatorom z uprawnieniami do zapisu uzyskać dostęp do konfiguracji Telegrama klasy admin oraz ustawień trwałości cron poprzez punkt końcowy send. Atakujący z uprawnieniami operator.write mogą wykorzystać niewystarczające kontrole dostępu do uzyskania dostępu do wrażliwej funkcjonalności administracyjnej i modyfikacji mechanizmów trwałości.

OpenClaw before 2026.3.28 contains an arbitrary code execution vulnerability in mirror mode that converts untrusted sandbox files into workspace hooks. Attackers with mirror mode access can execute arbitrary code on the host during gateway startup by exploiting enabled workspace hooks.

OpenClaw before version 2026.3.22 contains an access control bypass vulnerability in the allowProfiles feature that allows attackers to circumvent profile restrictions through persistent profile mutation and runtime profile selection.

OpenClaw przed wersją 2026.3.31 zawiera podatność na zdalne wykonanie kodu, która pozwala na ominięcie mechanizmu uwierzytelniania bramy zakresu węzła przez węzeł sparowany z urządzeniem. Atakujący posiadający dane uwierzytelniające do parowania urządzeń mogą wykonywać dowolne polecenia węzła na systemie gospodarza bez odpowiedniej walidacji parowania węzła.

OpenClaw przed wersją 2026.3.28 zawiera lukę umożliwiającą obejście zgody agentów, co pozwala agentom LLM na ciche wyłączenie zatwierdzenia wykonania za pomocą parametru config.patch. Atakujący zdalni mogą wykorzystać tę lukę do ominięcia zabezpieczeń i wykonywania nieautoryzowanych operacji bez zgody użytkownika.

OpenClaw przed wersją 2026.3.31 nie weryfikuje pochodzenia przeglądarki w punktach końcowych operatora HTTP podczas pracy w trybie zaufanego proxy, co umożliwia ataki typu cross-site request forgery. Atakujący mogą wykorzystać to, wysyłając złośliwe żądania z przeglądarki w zaufanych wdrożeniach proxy, aby wykonać nieautoryzowane działania na punktach końcowych operatora HTTP.

OpenClaw przed wersją 2026.3.28 zawiera podatność na obejście uwierzytelniania w komponencie zdalnego onboardingu, która pozwala na istnienie nieautoryzowanych punktów odkrywania bez wyraźnej potwierdzenia zaufania. Atakujący mogą podszywać się pod te punkty, aby przekierować onboarding do złośliwych bramek i przechwytywać dane uwierzytelniające lub ruch.

OpenClaw przed wersją 2026.3.31 pozwala na nadpisanie zmiennej środowiskowej OPENCLAW_BUNDLED_HOOKS_DIR przez pliki .env w przestrzeni roboczej, co umożliwia ładowanie kodu hooków kontrolowanego przez atakującego. Atakujący mogą zastąpić zaufane domyślne hooki z niezaufanych przestrzeni roboczych, co prowadzi do wykonania dowolnego kodu.

Niekontrolowany element ścieżki wyszukiwania w Microsoft Power Apps umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.

Podatność CVE-2026-26150 dotyczy ataku typu server-side request forgery (SSRF) w Microsoft Purview, który umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.