CVE Vulnerability Catalog

OpenClaw przed wersją 2026.3.22 zawiera podatność na obsługę nadpisywania zmiennych środowiskowych, która pozwala atakującym na obejście polityki wspólnego środowiska hosta poprzez niespójne ścieżki sanitizacji. Atakujący mogą dostarczyć zablokowane lub źle sformatowane klucze nadpisania, które przechodzą przez niespójną walidację, co umożliwia wykonanie dowolnego kodu z niezamierzonymi zmiennymi środowiskowymi.

OpenClaw przed wersją 2026.3.22 zawiera podatność na niezvalidated WebView JavascriptInterface, która pozwala atakującym na wstrzykiwanie dowolnych instrukcji. Nieufne strony mogą wywołać mostek canvas, aby wykonać złośliwy kod w kontekście aplikacji Android.

OpenClaw przed wersją 2026.3.24 zawiera podatność na wykonanie dowolnego kodu w lokalnej instalacji wtyczek i haków. Atakujący mogą wykonać złośliwy kod, tworząc plik .npmrc z nadpisanym wykonaniem git.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.3.0 miała lukę w modelu uprawnień. Sprawdzanie uprawnień przy zmianie projektu nadrzędnego nie uwzględniało odpowiednich reguł dziedziczenia, co mogło prowadzić do nieautoryzowanego dostępu do projektów.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.3.0 wydawała pełny token JWT w obsłudze callback OIDC, nie sprawdzając, czy użytkownik ma włączoną dwuetapową weryfikację TOTP. W przypadku lokalnego użytkownika z włączonym TOTP, drugi czynnik był całkowicie pomijany.

Apache Log4j JsonTemplateLayout up to version 2.25.3 produces invalid JSON output when log events contain non-finite floating-point values (NaN, Infinity, -Infinity), which violates RFC 8259. An attacker can exploit this if the application uses JsonTemplateLayout and logs a MapMessage or an object with a controlled floating-point value.

Apache Log4j Core w wersjach do 2.25.3 ma problem z XmlLayout, który nie sanitizuje znaków zabronionych przez specyfikację XML 1.0. To prowadzi do generowania nieprawidłowego XML, gdy wiadomość logu lub wartość MDC zawiera takie znaki.

The Log4j1XmlLayout from the Apache Log4j 1-to-Log4j 2 bridge fails to escape characters forbidden by the XML 1.0 standard, producing malformed XML output. This may cause conforming XML parsers to reject documents, impacting log processing systems.

Apache Log4j Core w wersjach od 2.21.0 do 2.25.3 jest podatny na wstrzykiwanie logów za pomocą sekwencji CRLF z powodu nieudokumentowanych zmian nazw atrybutów konfiguracyjnych związanych z bezpieczeństwem. Dwie różne kwestie dotyczą użytkowników usług syslog opartych na strumieniach, którzy bezpośrednio konfigurowali Rfc5424Layout.

CouchCMS contains a privilege escalation vulnerability that allows authenticated Admin-level users to create SuperAdmin accounts by tampering with the f_k_levels_list parameter in user creation requests. Attackers can modify the parameter value from 4 to 10 in the HTTP request body to bypass authorization validation and gain full application control.

W BMC Control-M/MFT w wersjach od 9.0.20 do 9.0.22 odkryto problem, który pozwala nieautoryzowanym użytkownikom uzyskać identyfikator API oraz odpowiadającą mu wartość sekretu. Ujawnione sekrety mogą być wykorzystane przez atakującego do wywoływania uprzywilejowanych operacji API.

W BMC Control-M/MFT w wersjach od 9.0.20 do 9.0.22 odkryto podatność na wstrzykiwanie SQL w interfejsie debugowania API MFT. Umożliwia ona uwierzytelnionemu atakującemu wstrzykiwanie złośliwych zapytań z powodu niewłaściwej walidacji danych wejściowych oraz niebezpiecznego przetwarzania dynamicznego SQL.

Funkcja disasm() w NASM zawiera przepełnienie bufora na stosie podczas formatowania wyjścia z deasemblacji, co pozwala atakującemu na wywołanie zapisu poza granicami bufora, gdy `slen` przekracza pojemność bufora.

A vulnerability in LiteLLM through 2026-04-08 allows remote attackers to execute arbitrary code via bytecode rewriting at the /guardrails/test_custom_code URI.

CVE-2026-33092 allows local privilege escalation due to improper handling of environment variables. The affected products are Acronis True Image OEM (macOS) before build 42571 and Acronis True Image (macOS) before build 42902.

W podatności CVE-2025-5804 występuje nieprawidłowa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy motywu Case Theme User w wersjach od n/a do poniżej 1.0.4.

Podatność CVE-2025-58920 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Zootemplate Cerato, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Cerato od n/a do 2.2.18 włącznie.

W podatności CVE-2025-58913 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku PHP w VideoPro. Problem dotyczy wersji VideoPro od n/a do 2.3.8.1 włącznie.

The vulnerability in Atom 3x Projector arises from improper exposure of the Android Debug Bridge (ADB) service over the local network without authentication or access controls. An unauthenticated attacker on the same network can exploit this vulnerability to gain root-level access, leading to complete compromise of the targeted device.

A denial of service vulnerability in Apache ActiveMQ allows memory exhaustion via TLSv1.3 handshake KeyUpdates. A client can rapidly trigger updates, exhausting the broker's SSL engine memory.