Katalog podatności CVE

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje skutecznej polityki narzędzi pochodzącego żądającego podczas automatycznego przywoływania Active Memory. W środowiskach używających Active Memory wraz z regułami narzędzi specyficznymi dla żądającego, deterministyczne i ukryte ścieżki przywoływania mogą pobierać trwałą pamięć i wstrzykiwać ją do kontekstu agenta, nawet gdy toolsBySender jawnie odmawia temu żądającemu dostępu do narzędzi pamięci (memory_search, memory_get). W rezultacie dopuszczony, ale odmówiony nadawca może otrzymać informacje pochodzące z trwałej pamięci w odpowiedzi agenta bez bezpośredniego wywoływania żadnego narzędzia pamięci. Problem naprawiono w 2026.8.1.

Wersje OpenClaw przed 2026.8.1 nie weryfikują wszystkich pól źródłowych w załącznikach wiadomości strukturalnych, co pozwala atakującym ukryć niezweryfikowane ścieżki hosta za dozwolonymi źródłami załączników. Atakujący mogą wykorzystać wiele pól źródłowych, aby ominąć walidację ścieżek sandboxa i spowodować, że dostarczanie przez Telegram odczyta i wyśle znane pliki hosta, które w przeciwnym razie zostałyby odrzucone.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.4.5 i < 2026.8.1 może utracić ograniczenia pochodzącego żądającego i niezaufane pochodzenie, gdy tekst pochodzący z sesji jest zapisywany w pamięci sesji. W środowiskach, gdzie przechwytywanie pamięci sesji i 'dreaming' są włączone, ograniczony zewnętrzny nadawca, którego wiadomości są dopuszczane z ograniczonymi narzędziami, może zapisać instrukcje, które później są dostarczane do nieobsługiwanego agenta działającego w tle (dreaming) z szerszymi możliwościami plików i poleceń, co pozwala na działania wykraczające poza uprawnienia pierwotnej tury i wpływające na pliki, polecenia lub usługi dostępne dla tego agenta. Eksploatacja wymaga, aby treść została przechwycona, wybrana do późniejszego przetwarzania i podążona przez model. Problem naprawiono w wersji 2026.8.1.

OpenClaw przed wersją 2026.8.1 zawiera podatność obejścia autoryzacji w anulowaniu TaskFlow przez webhook, która pozwala atakującym anulować niepowiązane sesje. Atakujący z sekretem trasy webhook może dostarczyć dowolny klucz sesji podrzędnej, aby anulować pracę ACP lub subagenta poza skonfigurowaną autoryzacją trasy.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na path traversal w funkcji tools.fs.workspaceOnly, gdzie fallback nazw plików Unicode może normalizować zwalidowane komponenty katalogów nadrzędnych. Dopuszczeni requesterzy mogą wykorzystać kanonicznie równoważne katalogi siostrzane, aby czytać pliki poza skonfigurowanym obszarem roboczym.

@openclaw/whatsapp (npm) przed wersją 2026.8.1 udostępnia narzędzie logowania WhatsApp przez ogólną ścieżkę narzędzi kanału bez zachowania statusu właściciela pochodzącego nadawcy, więc granica narzędzia tylko dla właściciela nie jest egzekwowana. Dopuszczony nadawca niebędący właścicielem, który może sterować narzędziem, może zażądać wymuszonego logowania i otrzymać nowy kod QR dla skonfigurowanego konta, co powoduje rozłączenie konta WhatsApp bramy i utratę dostępności; pełne ponowne powiązanie konta wymaga dodatkowo, aby atakujący zeskanował zwrócony kod QR innym telefonem. Problem dotyczy granicy narzędzia tylko dla właściciela, a nie uwierzytelniania transportu WhatsApp. Naprawiono w wersji 2026.8.1.

Pakiet npm @openclaw/slack przed wersją 2026.8.1 zawiera wadę autoryzacji w handlerze pobierania plików Slack: gdy plik nie ma metadanych udostępniania, które potwierdzają przynależność do żądanej konwersacji, kontrola autoryzacji konwersacji zawodzi w trybie otwartym. Uwierzytelniony wywołujący ograniczony do jednej konwersacji, znając lub uzyskując identyfikator pliku, może pobrać zawartość plików spoza zakresu tej konwersacji, ujawniając dane między skonfigurowanymi granicami konwersacji.

OpenClaw przed wersją 2026.8.1 nie wiąże kontekstu katalogu roboczego z wielokrotnego użytku zatwierdzeniami exec, co pozwala zatwierdzonym poleceniom wykonywać się w różnych katalogach. Atakujący z zatwierdzeniem 'allow-always' może go ponownie wykorzystać do uruchomienia tego samego polecenia przeciwko nieprzejrzanym plikom lub repozytoriom, co daje znacząco różne skutki.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na rozszerzenie zakresu autoryzacji w zatwierdzeniach typu allow-always w transferze plików, co pozwala atakującym na ponowne wykorzystanie stałych zgód dla nieprzejrzanych ścieżek. Atakujący mogą wykorzystać interpretację metaznaków glob i ponowne użycie nazw wyświetlanych węzłów, aby uzyskać dostęp do ścieżek siostrzanych lub różnych węzłów poza pierwotnym zakresem zgody operatora.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 mógł wysyłać poświadczenia dostawców zewnętrznych do niewłaściwego punktu końcowego. W dotkniętych wersjach, gdy dostawca zewnętrzny używa API zgodnego z OpenAI, a rozpoznane metadane modelu nie zawierają konkretnego adresu URL bazowego, przypięta sesja kontynuowana po gorącym przeładowaniu konfiguracji modelu zachowuje poświadczenia tego dostawcy, podczas gdy SDK OpenAI wybiera własny domyślny punkt końcowy. Wynikowe żądanie może ujawnić poświadczenia skonfigurowanego dostawcy zewnętrznego niepowiązanemu punktowi końcowemu i zakończyć się mylącym błędem uwierzytelniania.

OpenClaw przed wersją 2026.8.2 zawiera podatność na denial of service w relayu rozszerzenia przeglądarki, która pozwala nieuwierzytelnionym źródłom sieciowym wyczerpać pojemność oczekujących uwierzytelnień. Atakujący mogą zająć wszystkie oczekujące sloty, utrzymując ciche ulepszenia WebSocket, uniemożliwiając sparowanym rozszerzeniom ukończenie uwierzytelniania Browser Relay Authentication v2.

Integracja Discord OpenClaw (pakiet npm @openclaw/discord) przed wersją 2026.9.3 mogła utracić politykę mediów związaną z nadawcą w akcjach przesyłania emoji i naklejek przed załadowaniem lokalnego pliku. Nadawca uprawniony do wywołania tych akcji mógł spowodować, że OpenClaw odczyta ścieżkę hosta, którą skonfigurowane katalogi mediów tego samego nadawcy w przeciwnym razie odrzuciłyby, umieszczając bajty z pliku lokalnego spoza polityki w wychodzącym przesyłaniu emoji lub naklejki.

Wtyczka diagnostyczna OpenClaw Prometheus (@openclaw/diagnostics-prometheus) przed wersją 2026.9.3 nie egzekwuje zakresu operator.read na swoim uwierzytelnionym punkcie końcowym metryk. W środowiskach korzystających z trybu uwierzytelniania Gateway z tożsamością, takim jak trusted-proxy, wywołujący, którego efektywna rola nie ma zakresu odczytu, może pobrać dokument diagnostyczny, nawet jeśli zwykłe metody odczytu odrzucają tę samą tożsamość, ujawniając metryki operacyjne uwierzytelnionemu profilowi celowo ograniczonemu poniżej dostępu do odczytu.

Cotonti do wersji 1.0.0 zawiera podatność na cross-site request forgery (CSRF) w menedżerze rozszerzeń, która pozwala atakującym na wykonywanie akcji zmieniających stan bez walidacji tokenu anty-CSRF. Atakujący mogą tworzyć linki lub osadzać obrazy, aby zmusić administratorów do instalowania, aktualizowania, wstrzymywania lub wznowienia rozszerzeń, nakłaniając ich do odwiedzenia złośliwej strony podczas zalogowania.

Cotonti do wersji 1.0.0 zawiera podatność na otwarte przekierowanie w pliku message.php, która dekoduje parametr redirect za pomocą base64 bez walidacji domeny. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z zakodowanymi zewnętrznymi adresami URL, aby przekierować użytkowników na dowolne strony za pomocą meta refresh, co może być wykorzystane do ataków phishingowych.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w pliku message.php, gdzie parametr lng nie jest odpowiednio escapowany przed wyjściem w oknie potwierdzenia. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z payloadami skryptów w parametrze lng, aby wykonać dowolny JavaScript w sesji przeglądarki ofiary.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w parametrze highlight wtyczki wyszukiwania, który nie wykonuje żadnego escapowania HTML ani JavaScript. Atakujący mogą tworzyć złośliwe linki z wstrzykniętym JavaScriptem w parametrze highlight, który wykonuje się w przeglądarce każdego odwiedzającego, który otworzy link, w tym administratorów.

Laranode przed wersją 1.2.1 zawiera podatność na path traversal w punkcie końcowym POST /filemanager/upload-file, która pozwala uwierzytelnionym użytkownikom zapisywać pliki arbitralnie poza ich katalogiem domowym. Atakujący mogą dostarczyć sekwencje traversal w parametrze path, aby zapisać pliki PHP w katalogach WWW innych dzierżawców i wykonać kod jako ci dzierżawcy.

Ghidra w wersjach od 9.2 do 12.1.4 zawiera podatność polegającą na odczycie poza zakresem sterty w funkcji StringManager::getCodepoint podczas dekodowania wielobajtowych znaków UTF-8, UTF-16 lub UTF-32 bez sprawdzania pozostałej długości bufora. Atakujący może przygotować złośliwe pliki binarne zawierające ciągi znaków lub stałe bajtowe kończące się wielobajtowymi jednostkami wiodącymi, co powoduje odczyt poza zakresem, awarię dekompilatora lub wyciek sąsiedniej pamięci sterty do zdekompilowanego wyniku.

Ghidra w wersjach do 12.1.4 zawiera podatność na zapis poza zakresem na stosie w funkcji leftshift128 dekompilatora podczas przetwarzania ujemnych wartości przesunięcia z p-code. Atakujący mogą stworzyć złośliwe pliki binarne z określonymi sekwencjami instrukcji, które wyzwalają przepełnienie podczas dekompilacji, powodując uszkodzenie pamięci i potencjalnie osiągając wykonanie kodu.