Katalog podatności CVE

OpenClaw przed wersją 2026.3.12 stosuje ograniczenie szybkości tylko po pomyślnym uwierzytelnieniu webhooka, co pozwala atakującym na ominięcie limitów i brute-force sekretów webhooka. Atakujący mogą wysyłać powtarzane żądania uwierzytelnienia z nieprawidłowymi sekretami bez wyzwalania odpowiedzi ograniczenia szybkości, umożliwiając systematyczne odgadywanie sekretów i późniejsze fałszowanie żądań webhooka.

OpenClaw przed wersją 2026.3.11 zawiera podatność polegającą na obejściu granic piaskownicy (sandbox) w funkcji fs-bridge writeFile. Atakujący może wykorzystać warunek wyścigu (TOCTOU) poprzez modyfikację ścieżek nadrzędnych wewnątrz piaskownicy, co pozwala na zapis plików poza dozwolonym obszarem.

OpenClaw przed wersją 2026.3.11 zawiera podatność na ominięcie autoryzacji, która pozwala komendom kanałowym na modyfikację chronionej konfiguracji konta podrzędnego pomimo ograniczeń configWrites. Atakujący z autoryzowanym dostępem do jednego konta mogą wykonać komendy kanałowe, takie jak /config set channels.<provider>.accounts.<id>, aby zmodyfikować konfigurację na kontach docelowych z configWrites: false.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie zatwierdzenia w system.run, gdzie zmienne operandy skryptów nie są powiązane między fazą zatwierdzenia a wykonania. Atakujący mogą uzyskać zatwierdzenie do wykonania skryptu, zmodyfikować zatwierdzony plik skryptu przed wykonaniem i wykonać inną treść, zachowując ten sam zatwierdzony kształt polecenia.

Atakujący może wywołać użycie po zwolnieniu (use-after-free) w DNSdist, wysyłając spreparowane zapytania DNS, gdy używana jest metoda DNSQuestion:getEDNSOptions w niestandardowym kodzie Lua. Może to prowadzić do awarii i odmowy usługi.

Atakujący może wywołać zapis poza zakresem (out-of-bounds write) w DNSdist, wysyłając spreparowane odpowiedzi DNS, gdy używane są metody DNSQuestion:changeName lub DNSResponse:changeName w niestandardowym kodzie Lua. Przepisany pakiet może przekroczyć 65535 bajtów, prowadząc do awarii i odmowy usługi.

Atakujący może nakłonić DNSdist do przydzielenia zbyt dużej ilości pamięci podczas przetwarzania pakietów DNS przez QUIC lub HTTP/3, co prowadzi do odmowy usługi. W niektórych przypadkach system może wejść w stan braku pamięci i zakończyć proces.

Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.

Atakujący może wywołać odczyt poza dozwolonym obszarem, wysyłając spreparowany pakiet odpowiedzi DNS, gdy niestandardowy kod Lua używa newDNSPacketOverlay do parsowania pakietów DNS. Może to spowodować awarię (odmowę usługi) lub dostęp do niezwiązanej pamięci (potencjalny wyciek informacji).

OpenStack Glance przed wersjami 29.1.1, 30.1.1 oraz 31.0.0 jest podatny na atak SSRF (Server-Side Request Forgery). Uwierzytelniony użytkownik może wykorzystać przekierowania HTTP, aby ominąć walidację URL-i i uzyskać dostęp do wewnętrznych usług. Podatność dotyczy wyłącznie funkcji importowania obrazów, w szczególności metod web-download i glance-download oraz opcjonalnego wtyczki ovf_process.

Dolibarr w wersjach 22.0.4 i wcześniejszych zawiera podatność na lokalne dołączanie plików (LFI) w punkcie końcowym /core/ajax/selectobject.php. Uwierzytelniony użytkownik bez specjalnych uprawnień może odczytać zawartość dowolnych plików niebędących PHP, takich jak .env, .htaccess, kopie konfiguracji czy logi.

Moby (Docker) przed wersją 29.3.1 ma podatność, która pozwala ominąć walidację uprawnień wtyczek podczas instalacji. Demon może zaakceptować zestaw uprawnień różniący się od zatwierdzonego przez użytkownika, a w przypadku wtyczek z jednym uprawnieniem porównanie w ogóle nie jest wykonywane.

W FreeRDP przed wersją 3.24.2 wykryto podatność w funkcji progressive_decompress_tile_upgrade(), która nie przerywa wykonania po wykryciu niezgodności, a jedynie loguje ostrzeżenie. Użycie zawiniętej wartości (247) jako wykładnika przesunięcia prowadzi do niezdefiniowanego zachowania i pętli wykonującej około 80 miliardów iteracji, powodując odmowę usługi (DoS) na CPU.

Błąd w mechanizmie haszowania stringów w V8 powoduje, że stringi przypominające liczby całkowite są haszowane do ich wartości numerycznej, co czyni kolizje haszowania trywialnie przewidywalnymi. Poprzez spreparowanie żądania powodującego wiele takich kolizji w wewnętrznej tabeli stringów V8, atakujący może znacząco obniżyć wydajność procesu Node.js. Najczęstszym wyzwalaczem jest dowolny endpoint wywołujący JSON.parse() na danych kontrolowanych przez atakującego. Podatność dotyczy wersji 20.x, 22.x, 24.x i 25.x.

Wyciek pamięci w serwerach HTTP/2 Node.js występuje, gdy klient wysyła ramki WINDOW_UPDATE na strumieniu 0 (poziom połączenia), powodując przekroczenie maksymalnej wartości okna sterowania przepływem (2³¹-1). Serwer poprawnie wysyła ramkę GOAWAY, ale obiekt Http2Session nigdy nie jest sprzątany. Podatność dotyczy użytkowników HTTP2 na Node.js w wersjach 20, 22, 24 i 25.

Wada w weryfikacji HMAC w Node.js używa porównania nie w stałym czasie podczas walidacji podpisów dostarczonych przez użytkownika, co może ujawniać informacje o czasie proporcjonalne do liczby pasujących bajtów. W pewnych modelach zagrożeń, gdzie możliwe są pomiary czasu o wysokiej rozdzielczości, może to być wykorzystane jako wyrocznia czasowa do odgadnięcia wartości HMAC. Podatność dotyczy wersji 20.x, 22.x, 24.x i 25.x.

Błąd w modelu uprawnień Node.js dotyczącym egzekwowania ograniczeń sieciowych pozostawia operacje serwera Unix Domain Socket (UDS) bez wymaganych kontroli uprawnień, podczas gdy wszystkie porównywalne ścieżki sieciowe poprawnie je egzekwują. W rezultacie kod działający z opcją --permission bez --allow-net może tworzyć i udostępniać lokalne punkty końcowe IPC, umożliwiając komunikację z innymi procesami na tym samym hoście poza zamierzoną granicą ograniczeń sieciowych. Podatność dotyczy procesów Node.js w wersji 25.x używających modelu uprawnień, gdzie --allow-net jest celowo pominięte w celu ograniczenia dostępu do sieci. Uwaga: --allow-net jest obecnie funkcją eksperymentalną.

W DDSN Interactive cm3 Acora CMS w wersji 10.7.1 występuje podatność polegająca na nieprawidłowej kontroli dostępu. Użytkownik z uprawnieniami edytora może uzyskać dostęp do wrażliwych plików konfiguracyjnych poprzez bezpośrednie przeglądanie endpointu „/Admin/file_manager/file_details.asp” i manipulowanie parametrem „file”. Poprzez odwołanie się do konkretnych plików (np. cm3.xml) atakujący może odzyskać dane uwierzytelniające administratora systemu, ustawienia SMTP, dane dostępowe do bazy danych oraz inne poufne informacje.

Wada w przetwarzaniu adresów URL w Node.js powoduje błąd asercji w kodzie natywnym, gdy funkcja url.format() jest wywoływana z nieprawidłową umiędzynarodowioną nazwą domeny (IDN) zawierającą nieprawidłowe znaki, co powoduje awarię procesu Node.js.

W systemie IngEstate Server w wersji 11.14.0 wykryto wiele podatności na trwały skrypt krzyżowy (XSS) w funkcji edycji strony listy pakietów oprogramowania. Atakujący może wstrzyknąć złośliwy kod do parametrów About application, What's news lub Release note, co prowadzi do wykonania dowolnych skryptów lub kodu HTML.