CVE Vulnerability Catalog

Podatność CVE-2026-28073 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Tips and Tricks HQ WP eMember, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji WP eMember od n/a do 10.2.2.

Podatność na deserializację niezaufanych danych w motywie WordPress ColorFolio od BuddhaThemes umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji motywu od n/a do 1.3.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'fh' (odcisk palca) we wszystkich wersjach do 5.3.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na wstrzykiwanie poleceń w narzędziu Lobster, które wykorzystuje powrotną obsługę powłoki Windows z ustawieniem shell: true po nieudanych próbach uruchomienia. Atakujący mogą wstrzykiwać metaznaki powłoki w argumentach poleceń, co pozwala na wykonanie dowolnych poleceń w przypadku błędów EINVAL lub ENOENT.

Wersje OpenClaw 2026.2.22 i 2026.2.23 zawierają podatność na obejście autoryzacji w wtyczce kanału synology-chat, gdzie polityka dmPolicy ustawiona na allowlist z pustymi allowedUserIds nie działa poprawnie. Atakujący z dostępem do nadawcy Synology mogą obejść kontrole autoryzacji i wywołać nieautoryzowane działania agenta oraz narzędzi downstream.

Wersje OpenClaw przed 2026.2.19 zawierają lokalną podatność na wstrzykiwanie poleceń w skryptach zadań zaplanowanych w systemie Windows, spowodowaną niebezpiecznym przetwarzaniem metaznaków cmd oraz znaków wrażliwych na rozwinięcie w plikach gateway.cmd. Lokalni atakujący mogą wstrzykiwać dowolne polecenia, dostarczając wartości zawierające tylko metaznaki lub sekwencje CR/LF.

Wersje OpenClaw przed 2026.2.23 zawierają podatność na obejście listy dozwolonych w system.run, która pozwala uwierzytelnionym operatorom na wykonywanie niezamierzonych poleceń. Gdy /usr/bin/env jest na liście dozwolonych, atakujący mogą użyć env -S, aby obejść analizę polityki i wykonać ładunki powłoki w czasie rzeczywistym.

Wersje OpenClaw przed 2026.3.1 zawierają podatność typu server-side request forgery (SSRF) w mechanizmie rozwiązywania przekierowań cytatów w web_search. Atakujący, który może wpływać na cele przekierowań, może wywołać wewnętrzne żądania sieciowe z hosta OpenClaw do lokalnych, prywatnych lub wewnętrznych adresów.

Wersje OpenClaw przed 2026.3.1 zawierają podatność na nieograniczony wzrost pamięci w punkcie końcowym webhooka Zalo, co pozwala nieautoryzowanym atakującym na akumulację kluczy w pamięci poprzez różnicowanie ciągów zapytań. Atakujący zdalni mogą wykorzystać to, wysyłając powtarzające się żądania z różnymi parametrami zapytań.

W wersjach OpenClaw przed 2026.2.22 występuje podatność na obejście listy dozwolonych poleceń w system.run, która pozwala atakującym na wykonywanie poleceń nieznajdujących się na liście dozwolonych. Atakujący mogą obejść analizę bezpieczeństwa, wstrzykując $\, a następnie nową linię i otwierający nawias w podwójnych cudzysłowach.

Wersje OpenClaw przed 2026.2.22 zawierają podatność na obejście listy dozwolonych, która występuje w analizie system.run exec. Problem polega na tym, że nieprawidłowo rozpakowuje łańcuchy wrapperów env i shell-dispatch.

Kan to narzędzie do zarządzania projektami typu open-source. W wersjach 0.5.4 i poniżej, punkt końcowy /api/download/attatchment nie wymaga uwierzytelnienia i nie przeprowadza walidacji URL, co pozwala na nieautoryzowany dostęp do wewnętrznych usług.

Romeo umożliwia osiągnięcie wysokiego pokrycia kodu aplikacji Go ≥1.20, wspierając pomiar pokrycia kodu dla testów funkcjonalnych i integracyjnych w GitHub Actions. W wersji przed 0.2.2 funkcja `sanitizeArchivePath` w pliku `webserver/api/v1/decoder.go` jest podatna na obejście ścieżki z powodu braku końcowego separatora ścieżki w sprawdzeniu `strings.HasPrefix`, co pozwala na zapis plików poza zamierzonym katalogiem docelowym.

ApostropheCMS to otwartoźródłowy framework do zarządzania treścią. W wersjach przed 4.28.0, middleware uwierzytelniania tokenów w `@apostrophecms/express/index.js` zawiera błędne zapytanie MongoDB, które pozwala na użycie niekompletnych tokenów logowania jako w pełni uwierzytelnionych tokenów.

Parse Server, otwarte oprogramowanie backendowe, przed wersjami 9.6.0-alpha.21 i 8.6.45, pozwalało nieautoryzowanym atakującym na zablokowanie procesu serwera poprzez wysłanie pojedynczego żądania z głęboko zagnieżdżonymi operatorami warunków zapytania. To prowadziło do przerwania działania serwera i odmowy usługi dla wszystkich podłączonych klientów.

Parse Server, otwarte źródło backendu, przed wersjami 9.6.0-alpha.24 i 8.6.47, pozwalał zdalnym klientom na zablokowanie procesu serwera poprzez wywołanie punktu końcowego funkcji chmurowej z odpowiednio skonstruowaną nazwą funkcji, co prowadziło do przepełnienia stosu. Wersje 9.6.0-alpha.24 i 8.6.47 wprowadziły poprawkę, która ogranicza przeszukiwanie właściwości do własnych właściwości, zapobiegając przechodzeniu przez łańcuch prototypów zarejestrowanych handlerów funkcji chmurowych.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 9.6.0-alpha.20 i 8.6.44, atakujący może obejść domyślną ochronę listy zablokowanych słów kluczowych oraz uprawnienia na poziomie klas, wysyłając spreparowane żądanie, które wykorzystuje zanieczyszczenie prototypu w mechanizmie głębokiego kopiowania.

Parse Server, otwarte źródło backendu, przed wersjami 9.6.0-alpha.15 i 8.6.41, pozwalał atakującym na obejście filtru rozszerzeń plików poprzez dodanie parametru MIME do nagłówka `Content-Type`. To prowadziło do możliwości przechowywania aktywnej zawartości pod domeną aplikacji, co zwiększa ryzyko ataków XSS.

W ClipBucket v5, przed wersją 5.5.3 #80, występuje podatność na zdalne wstrzykiwanie SQL typu blind, która wymaga uwierzytelnienia. Problem wynika z niewystarczającej sanitizacji danych wejściowych parametru `userid`, co pozwala atakującemu na wykonanie dowolnych zapytań SQL.

W programie SAMtools, od wersji 1.17, w komendzie cram-size brakowało sprawdzenia błędów dla funkcji `cram_decode_compression_header()`. W przypadku wystąpienia błędu, może to prowadzić do dereferencji wskaźnika NULL, co zazwyczaj powoduje awarię programu.