CVE Vulnerability Catalog

Wtyczka Fonts Manager | Custom Fonts dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'fmcfIdSelectedFnt' we wszystkich wersjach do i włącznie z 1.2. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Performance Monitor dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 1.0.6. Problem wynika z niewystarczającej walidacji parametru 'url' w punkcie końcowym REST API '/wp-json/performance-monitor/v1/curl_data'.

Wtyczka MimeTypes Link Icons dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 3.2.20. Problem wynika z braku odpowiedniej walidacji przy wykonywaniu zewnętrznych żądań HTTP do adresów URL kontrolowanych przez użytkowników, gdy opcja 'Pokaż rozmiar pliku' jest włączona.

Wtyczka Invelity Product Feeds dla WordPressa jest podatna na usuwanie dowolnych plików poprzez atak typu path traversal we wszystkich wersjach do i włącznie z 1.2.6. Problem wynika z braku walidacji i sanitizacji w funkcji 'createManageFeedPage'.

Wtyczka WowOptin: Next-Gen Popup Maker dla WordPress jest podatna na atak typu Server-Side Request Forgery (SSRF) we wszystkich wersjach do i włącznie z 1.4.29. Problem wynika z udostępnienia publicznego punktu końcowego REST API (optn/v1/integration-action) z brakiem odpowiedniej walidacji URL-i, co pozwala na przekazywanie dostarczonych przez użytkownika adresów URL bezpośrednio do funkcji wp_remote_get() i wp_remote_post().

Wersje OpenClaw przed 2026.2.21 mają punkt wejścia do przeglądarki w piaskownicy, który uruchamia x11vnc bez uwierzytelnienia dla sesji obserwatora noVNC, co umożliwia nieautoryzowany dostęp do interfejsu VNC. Zdalni atakujący mogą łączyć się z wystawionym portem noVNC na interfejsie pętli zwrotnej hosta, aby obserwować lub wchodzić w interakcję z przeglądarką w piaskownicy bez podawania danych uwierzytelniających.

Wersje OpenClaw przed 2026.2.25 zawierają podatność na obejście uwierzytelniania w mechanizmie parowania interfejsu użytkownika Control UI, który akceptuje client.id=control-ui bez odpowiedniej weryfikacji tożsamości urządzenia. Klient websocket z rolą uwierzytelnionego węzła może wykorzystać ten identyfikator klienta, aby pominąć wymagania dotyczące parowania i uzyskać nieautoryzowany dostęp do przepływów wykonania zdarzeń węzła.

Wersje OpenClaw przed 2026.2.22 nie oczyszczają zmiennych środowiskowych HOME i ZDOTDIR w funkcji system.run, co pozwala atakującym na ominięcie ochrony listy dozwolonych poleceń. Zdalni atakujący mogą wstrzykiwać złośliwe pliki startowe, takie jak .bash_profile lub .zshenv, co prowadzi do wykonania dowolnego kodu przed wykonaniem poleceń ocenianych na liście dozwolonych.

Wersje OpenClaw przed 2026.2.26 zawierają podatność na traversowanie ścieżek w walidacji granic przestrzeni roboczej, co pozwala atakującym na zapis plików poza przestrzenią roboczą poprzez symlink'i wskazujące na nieistniejące cele poza korzeniem. Podatność wynika z niewłaściwego rozwiązywania aliasów w kontroli granic.

Wersje OpenClaw przed 2026.3.1 zawierają podatność na niezgodność autoryzacji, która pozwala uwierzytelnionym użytkownikom z zakresem operator.write na wywoływanie narzędzi dostępnych tylko dla właścicieli, takich jak brama i cron, poprzez uruchomienia agenta w wdrożeniach z tokenami zakresu. Atakujący z dostępem do zapisu mogą wykonywać działania w kontrolowanej płaszczyźnie, które wykraczają poza ich zamierzony poziom autoryzacji.

Wersje OpenClaw przed 2026.2.22 nie egzekwują konsekwentnie skonfigurowanych limitów bajtów dla przychodzących mediów przed buforowaniem zdalnych mediów w różnych ścieżkach wprowadzania kanałów. Zdalni atakujący mogą wysyłać zbyt duże ładunki mediów, co prowadzi do zwiększonego zużycia pamięci i potencjalnej niestabilności procesu.

Wersje OpenClaw przed 2026.3.1 nie egzekwują dziedziczenia piaskownicy podczas operacji spawn sesji między agentami, co pozwala na tworzenie procesów potomnych przez sesje w piaskownicy pod agentami bez piaskownicy. Atakujący z sesją w piaskownicy może wykorzystać to do uruchomienia procesów potomnych z wyłączonym trybem piaskownicy, omijając ograniczenia dotyczące izolacji środowiska wykonawczego.

Wersje OpenClaw 2026.2.22 i wcześniejsze zawierają podatność na eskalację uprawnień, która pozwala nieparowanym tożsamościom urządzeń na ominięcie wymagań dotyczących parowania operatorów oraz samodzielne przypisanie podwyższonych uprawnień operatora, w tym operator.admin. Atakujący z ważną autoryzacją bramy mogą przedstawić niepodpisaną tożsamość nieparowanego urządzenia, aby zażądać i uzyskać wyższe uprawnienia operatora przed zatwierdzeniem parowania.

Wtyczka Injection Guard dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez złośliwe nazwy parametrów zapytania we wszystkich wersjach do i włącznie z 1.2.9. Problem wynika z niewystarczającej sanitizacji danych wejściowych w funkcji sanitize_ig_data(), która sanitizuje tylko wartości tablic, a nie klucze tablic.

Discourse to otwartoźródłowa platforma dyskusyjna. Przed wersjami 2026.3.0-latest.1, 2026.2.1 i 2026.1.2, nieautoryzowany atakujący mógł spowodować, że strona autoryzacji Discourse wyświetlałaby domenę kontrolowaną przez atakującego, co ułatwiało ataki inżynierii społecznej na użytkowników.

Systemy WebCTRL, które komunikują się za pomocą protokołu BACnet, dziedziczą brak uwierzytelniania na warstwie sieciowej. WebCTRL nie wprowadza dodatkowej walidacji ruchu BACnet, co pozwala atakującemu z dostępem do sieci na fałszowanie pakietów BACnet skierowanych do serwera WebCTRL lub powiązanych kontrolerów AutomatedLogic.

Podatność CVE-2026-25086 pozwala atakującemu na związanie się z tym samym portem, który jest używany przez WebCTRL. Dzięki temu atakujący może tworzyć i wysyłać złośliwe pakiety oraz podszywać się pod usługę WebCTRL bez potrzeby wstrzykiwania kodu do oprogramowania WebCTRL.

Zidentyfikowano podatność w PbootCMS do wersji 3.2.12, która dotyczy funkcji checkUsername w pliku apps/home/controller/MemberController.php komponentu logowania użytkowników. Manipulacja argumentem Username prowadzi do wstrzykiwania SQL.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 jądro SiYuan udostępnia nieautoryzowany punkt końcowy do serwowania plików pod `/appearance/*filepath`, co umożliwia atakującym przeprowadzenie ataku typu directory traversal i odczytanie dowolnych plików dostępnych dla procesu serwera.

W barebox, bootloaderze, występuje podatność na weryfikację podpisu FIT, która pozwala atakującemu na oszukanie bootloadera w celu uruchomienia innych obrazów niż te, które zostały zweryfikowane w ramach podpisanej konfiguracji. Problem dotyczy wersji od 2016.03.0 do przed 2026.03.1 oraz odpowiednich backportów do 2025.09.3.