Katalog podatności CVE

Wtyczka WordPress WP Directory Kit przed wersją 1.5.8 nie sanityzuje ani nie escapuje niektórych pól kategorii i lokalizacji przed wyprowadzeniem ich w atrybutach strony. Umożliwia to użytkownikom z rolą zarządzania ogłoszeniami specyficzną dla wtyczki (bez uprawnienia unfiltered_html) przeprowadzenie ataków przechowywanego Cross-Site Scripting, które wykonują się u każdego odwiedzającego dotkniętą stronę.

Wtyczka WordPress Team Members w wersji przed 9.3 nie wykonuje żadnej kontroli autoryzacji ani widoczności w nieuwierzytelnionej akcji AJAX, która zwraca pełne rekordy członków zespołu po ID. Umożliwia to nieuwierzytelnionym atakującym wyliczanie i ujawnianie danych, w tym adresów e-mail i numerów telefonów, członków zespołu, których administrator nie opublikował publicznie.

Wtyczka Automatic.css dla WordPressa jest podatna na przechowywany atak XSS przez REQUEST_URI w wersji 4.0.0 z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator odwiedzi stronę ustawień dziennika aktywności.

OpenClaw w wersjach 2026.5.1 do 2026.7.0 nie stosuje skonfigurowanej ścieżki zatwierdzania wykonania do poleceń węzła Google Meet. Polecenie googlemeet.chrome akceptuje tablice poleceń audio dostarczone przez wywołującego i wykonuje je na sparowanym węźle bez normalnego przepływu zatwierdzania system.run. W środowiskach z włączoną wtyczką Google Meet, sparowanym węzłem Chrome i dozwolonym poleceniem googlemeet.chrome, agent z dostępem do narzędzi może wykonać wybrane przez atakującego procesy na sparowanym węźle, wpływając na pliki, poświadczenia, profile przeglądarki i dostępność. Problem naprawiono w wersji 2026.7.1; jako obejście można usunąć googlemeet.chrome z dozwolonych poleceń węzła lub wyłączyć wtyczkę Google Meet.

OpenClaw (pakiet npm openclaw) przed wersją 2026.7.1 nieprawidłowo wiąże reakcje zatwierdzania Signal. W dotkniętych wersjach reakcja mająca rozwiązać strukturalne żądanie zatwierdzenia może zamiast tego zostać przypisana do zwykłej wiadomości wychodzącej, gdy w tej samej konwersacji występują niezwiązane wiadomości wychodzące i oczekujące zatwierdzenie. W rezultacie reakcja osoby zatwierdzającej na niezwiązany tekst może zostać zinterpretowana jako zatwierdzenie lub odrzucenie oczekującej akcji hosta; praktyczny wpływ zależy od oczekującego żądania, czasu konwersacji i działań dostępnych dla procesu OpenClaw. Problem nie zmienia uprawnień poprawnie zidentyfikowanych osób zatwierdzających. Naprawiono w wersji 2026.7.1.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.7.1 jest podatny na wyścig typu time-of-check time-of-use w operacjach mutacji lokalnego systemu plików OpenShell mirror. Operacje remove, mkdir i rename mogą działać na innym celu systemu plików po zakończeniu przez OpenClaw kontroli bezpieczeństwa ścieżki w sandboxie, jeśli ścieżka zostanie zmieniona jednocześnie. Atakujący, który wygra wyścig, może spowodować, że operacja w sandboxie usunie, utworzy lub zmieni nazwę ścieżki hosta poza zamierzonym katalogiem głównym mirror z uprawnieniami użytkownika procesu OpenClaw. Nie wymaga to przyznania operatorowi dostępu do systemu plików hosta poza sandboxem. Problem naprawiono w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo autoryzuje niebędących właścicielami użytkowników wykonujących zmiany konfiguracji MCP przez polecenia /mcp set i /mcp unset. Atakujący mogą utrwalić dowolne polecenia stdio MCP, które wykonują się z uprawnieniami procesu OpenClaw podczas ładowania konfiguracji, naruszając poufność, integralność i dostępność hosta.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w poleceniu eksportu diagnostyki, która pozwala nadawcom niebędącym właścicielami na dostęp do pakietów diagnostycznych hosta przeznaczonych tylko dla właścicieli. Atakujący mogą żądać i otrzymywać szczegóły diagnostyczne dotyczące hosta, konfiguracji, środowiska uruchomieniowego i połączonych usług.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w punkcie końcowym /export-trajectory, która pozwala nadawcom niebędącym właścicielami na żądanie i otrzymywanie pakietów trajektorii przeznaczonych tylko dla właścicieli. Atakujący mogą uzyskać dostęp do promptów, wiadomości modeli, schematów narzędzi, zdarzeń środowiska uruchomieniowego i metadanych ścieżek lokalnych z dotkniętych sesji.

OpenClaw (pakiet npm `openclaw`) przed wersją 2026.7.1 nie egzekwuje udokumentowanego wymogu właściciela dla trwałych zmian polityki `/activation` w kanałach grupowych. Autoryzowany nadawca niebędący właścicielem może zmienić, czy agent wymaga aktywacji przez wzmiankę, co powoduje, że agent odpowiada szerzej w grupie (narażając swoje odpowiedzi na dodatkowy ruch grupowy) lub tłumi oczekiwane zachowanie aktywacji, dopóki właściciel nie przywróci ustawień.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach >= 2026.4.10 i < 2026.7.1 trwałe mutacje snu pamięci pomijają sprawdzenia uprawnień właściciela. Autoryzowany, ale niebędący właścicielem nadawca zewnętrznego kanału może wydać trwałe polecenia '/dreaming on' i '/dreaming off', aby włączyć lub wyłączyć zachowanie snu Memory Core bramy, wyłączając przetwarzanie pamięci w tle lub ponownie włączając trwałe promowanie pamięci, gdy właściciel oczekiwał, że pozostanie wyłączone; praktyczny wpływ na poufność, integralność i dostępność zależy od przechowywanego materiału konwersacji i późniejszego użycia pamięci.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach przed 2026.7.1 globalne przełączniki Active Memory mogły pomijać sprawdzenia właściciela. Autoryzowany nadawca zewnętrznego kanału niebędący właścicielem mógł trwale włączyć lub wyłączyć Active Memory dla bramy, wyłączając przywoływanie pamięci dla przyszłych sesji lub ponownie włączając globalne przywoływanie, gdy właściciel oczekiwał, że pozostanie wyłączone. Problem dotyczy tylko trwałych globalnych mutacji włącz/wyłącz; kontrola na poziomie sesji i status tylko do odczytu pozostają zgodne z istniejącą polityką poleceń.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w poleceniu /voice set, która pozwala nadawcom zewnętrznych kanałów niebędącym właścicielami na trwałe zapisywanie konfiguracji głosu bramy. Atakujący z dostępem do poleceń mogą zmienić głos używany w odpowiedziach Talk dla skonfigurowanego dostawcy, wpływając na integralność konfiguracji bez ujawniania poświadczeń ani przyznawania dodatkowych możliwości hosta.

OpenClaw w wersjach przed 2026.7.1 zawiera podatność na obejście sandboxa w narzędziu przeglądarki, która pozwala sesjom w sandboxie na dostęp do akcji przeglądarki sparowanego węzła mimo konfiguracji allowHostControl=false. Atakujący z kontrolą nad danymi wejściowymi agenta w sandboxie mogą wybrać sparowany węzeł i wykonywać operacje przeglądarki hosta, przeglądając lub manipulując połączonym profilem przeglądarki i jego uwierzytelnionym stanem.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu uprawnień administratora dla kontroli przeglądarki, gdy dostęp następuje przez metodę node.invoke, mimo że bezpośredni dostęp browser.request wymaga uprawnień administratora. W wdrożeniach Gateway respektujących tożsamość wywołującego, operator z uprawnieniami zapisu może przeglądać strony, nawigować po kartach lub wchodzić w interakcję z aplikacjami widocznymi w przeglądarce bez wymaganych uprawnień administratora. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo weryfikuje autoryzację właściciela w poleceniu instalacji Codex computer-use. Nadawcy kanału niebędący właścicielami mogą instalować dowolne wtyczki i uruchamiać procesy MCP z uprawnieniami użytkownika OpenClaw, wpływając na poufność, integralność i dostępność hosta. Luka została naprawiona w wersji 2026.7.1.

OpenClaw Codex w wersjach przed 2026.7.1 nie wymusza prawidłowo autoryzacji właściciela przy tworzeniu natywnych powiązań konwersacji. Nadawcy kanału niebędący właścicielami, posiadający dostęp do poleceń, mogą tworzyć powiązania z natywnym środowiskiem Codex i wykonywać tury z dostępem do plików, narzędzi i procesów hosta. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu autoryzacji wyłącznie dla właściciela w monitach uprawnień Claude Code dostarczanych przez most kanału MCP. Autoryzowany nadawca kanału niebędący właścicielem, posiadający dostęp do poleceń kanału, może zatwierdzić lub odrzucić oczekujące żądanie uprawnień przeznaczone dla właściciela, powodując wykonanie żądanej akcji bez zgody właściciela. Luka została naprawiona w wersji 2026.7.1.

OpenClaw to środowisko uruchomieniowe agenta dystrybuowane przez npm. W wersjach >= 2026.2.26 i < 2026.7.1 analiza poleceń PowerShell na hostach Windows działających w trybie listy dozwolonych exec mogła zatwierdzić dokładny plik wykonywalny rozwiązany z PATH, ale następnie wykonać plik wykonywalny o tej samej nazwie znajdujący się w katalogu roboczym. Jeśli treść o niższym zaufaniu może umieścić plik wykonywalny z zatwierdzoną nazwą bazową w katalogu roboczym agenta i skierować zatwierdzone polecenie PowerShell używające gołej nazwy pliku wykonywalnego, OpenClaw może uruchomić plik z katalogu roboczego zamiast ścieżki z listy dozwolonych, wykonując dowolny kod z uprawnieniami bramy lub użytkownika hosta.

OpenClaw Discord przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w akcjach odczytu metadanych gildii, która pozwala nadawcom o niższym zaufaniu na pobieranie informacji wykluczonych przez listy dozwolonych kanałów. Atakujący mogą ominąć skonfigurowaną politykę docelową odczytu Discord, aby uzyskać dostęp do metadanych gildii z serwerów lub kanałów spoza listy dozwolonych operatora.